WO2006101194A1 - アクセス権限判定システム、アクセス権限判定方法及びアクセス権限判定プログラム - Google Patents

アクセス権限判定システム、アクセス権限判定方法及びアクセス権限判定プログラム Download PDF

Info

Publication number
WO2006101194A1
WO2006101194A1 PCT/JP2006/305957 JP2006305957W WO2006101194A1 WO 2006101194 A1 WO2006101194 A1 WO 2006101194A1 JP 2006305957 W JP2006305957 W JP 2006305957W WO 2006101194 A1 WO2006101194 A1 WO 2006101194A1
Authority
WO
WIPO (PCT)
Prior art keywords
request
access
subject
subject information
request source
Prior art date
Application number
PCT/JP2006/305957
Other languages
English (en)
French (fr)
Inventor
Satoshi Hieda
Original Assignee
Nec Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nec Corporation filed Critical Nec Corporation
Priority to US11/909,299 priority Critical patent/US8336059B2/en
Priority to EP06729905.7A priority patent/EP1873678A4/en
Priority to JP2007509343A priority patent/JP4853671B2/ja
Publication of WO2006101194A1 publication Critical patent/WO2006101194A1/ja

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6236—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database between heterogeneous systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/14—Protection against unauthorised use of memory or access to memory
    • G06F12/1416—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights
    • G06F12/1425—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights the protection being physical, e.g. cell, word, block

Definitions

  • Access authority determination system access authority determination method and access authority determination program
  • the present invention relates to an access right determination system, an access right determination method, and an access right determination program, and in particular, an access right determination system between an access request source OS and an access request destination OS between different OSs, an access right determination method, Access permission determination program.
  • an access request may be executed between different operating systems (OS) via NFS (Net File File System), Samba, etc. Can.
  • OS operating systems
  • NFS Net File File System
  • Samba etc. Can.
  • the access request here refers to the subject (process, thread, etc.) that is the access subject, object (file, directory, heap, stack, semaphore, first-in first-out (FIFO), message, shared memory Computer resources such as sockets, etc.).
  • object file, directory, heap, stack, semaphore, first-in first-out (FIFO), message, shared memory Computer resources such as sockets, etc.
  • an access request can be executed between the guest OS and the host OS by constructing a virtual machine environment in it.
  • UML User-mode Linux
  • File access can be made to the file of Linux via Host Filesystem.
  • an access authority determination system capable of verifying an access request for an object on the request destination OS from the subject on the request source OS is required, and in particular, the following three There is a need for an access authority determination system that meets the requirements.
  • processes that are executed with system administrator authority on the request source OS can be set to allow writing to a large number of files on the request destination OS, and the request source OS can be set to general Processes that are run with user rights are required to have an access rights determination system that can set rights to allow only a small number of file reads.
  • the access authority determination In the access request for the object on the request destination OS from the subject on the request source OS, the access authority determination must be performed for all the access requests.
  • this type of access right determination system prohibits unauthorized access to an object from a subordinate within one OS, as disclosed in, for example, Patent Document 1 and Non-Patent Document 1.
  • the subject accesses an object, within the OS In the department, based on the prepared access policy, verify whether the access is valid or not, execute only the permitted access, and do not execute the unauthorized access. There is.
  • the access authority determination system satisfies the third requirement described above.
  • this type of access right judgment system has, for example, separately disclosed in the communication part between OSs as shown in Patent Document 2.
  • the access authority determination means 207 and the access policy are prepared, and when the subject on the request source OS accesses the object on the request destination OS, the access authority determination means 207 makes the access effective based on the access policy. And to execute only authorized access and not to execute unauthorized access.
  • the access authority determination system satisfies the first and third requirements described above.
  • this type of access right determination system prohibits unauthorized access to files of Host Filesyst from users on UML in UML (User-mode Linux), which is a virtual machine environment for Linux.
  • UML User-mode Linux
  • Non-Patent Document 2 when a user on the UML accesses a file on the Host Filesystem, the permission of the file to be accessed is verified, and only the access meeting the permission is executed. Do not run, be careful! /.
  • This access authority determination system satisfies the second requirement described above.
  • Patent Document 1 Japanese Patent Application Laid-Open No. 2002-149494
  • Patent Document 2 Japanese Patent Application Laid-Open No. 2003-345654
  • Special Feature 1 Security-Enhanced Linux URL: http://www.nsa.gov/selinux/ Special Feature 2: The User-mode Linux Kernel HomePage URL http: // user-mode-iinu x. S ourceforge. net /
  • the first problem is that the information of the subject being executed on the request source OS can not be referenced from the request destination OS. [0022] The reason is that all the information on the subject running on the request source OS is managed in the request source OS.
  • the second problem is that the access authority can not be determined on the request source OS based on the information of the subject being executed on the request source OS.
  • the reason is the same as the reason for the first problem.
  • the third problem is that it is not possible to determine the access authority for all the access requests on the request source OS based on the information of the subject being executed on the request source OS.
  • the object of the present invention is to request subject information which is executed on the request source OS,
  • Another object of the present invention is to provide an access authority determination system, an access authority determination method, and an access authority capable of determining an access authority on a request source OS based on information of a subject being executed on the request source OS. It is to provide a judgment program.
  • Another object of the present invention is to provide access right determination for all access requests on the request source OS based on the information of the subject being executed on the request source OS.
  • a system, an access authority determination method, and an access authority determination program are provided.
  • a subject that is an access subject on the request source OS makes an access request for an object to be accessed on the request destination OS.
  • access right determination is performed according to the authority of the subject being executed on the request source OS on the request destination OS.
  • the present invention is characterized in that the request destination OS queries the request source OS for the subject's subform information.
  • the request destination OS executes an access request from the request source OS by proxy on the request source OS, and an access request from the access request proxy means
  • Subject information acquisition means for acquiring subject information of the subject from the request source OS when executed on the request source OS, and accessing for each type of subject being executed on the request source OS
  • a subject information conversion database in which subject information to be assigned to a request proxy means is described, subject matter conversion information acquired by the subject information acquisition means, and subject matter conversion information, and the subject information conversion database Change subject information assigned to access request proxy means Whether the access request proxy means is authorized to access the object based on the conversion means, the subject information of the access request proxy means converted by the subsidiary information conversion means, and the object information of the object to be accessed
  • an access authority determination unit that determines whether or not there is an access authority determination unit.
  • the present invention is characterized in that the request source OS notifies subject information of the access request source subject to the request destination OS.
  • the request source OS when the request source OS receives an access request from a subject, the request information is added to the subject information of the request source subject in the access request, and the access request is notified to the request destination OS.
  • the request destination OS receives the access request from the request source OS, and stores the subject information of the sub-site included in the request information storage unit in the subject information storage unit.
  • an access request proxy unit that executes an access request on the request source OS, and the above request stored in the subject information storage unit when there is an access request from the access request proxy unit.
  • Substitute information acquisition means for acquiring subject information of a subject being executed on a source OS, and a sub executed on the request source OS
  • a subject information conversion database describing subject information to be assigned to access request proxy means, subject information of a subject which is executed on the request source os acquired by the subject information acquisition means, and the subject information conversion database
  • Object information conversion means for converting subject information assigned to the access request proxy means, subject information of the access request proxy means converted by the subject information conversion means, and object information of the object to be accessed.
  • an access authority determination unit that determines whether the access request proxy unit is authorized to access an object.
  • the present invention provides the subject information of the subject to be executed after switching each time the request source OS switches the execution subject in the request source OS, and the subject on the request destination OS.
  • An access request proxy unit that includes subject information notification means stored in an information storage unit, and wherein the request destination OS executes an access request from the request source OS on the request source OS by proxy;
  • Subject information acquisition means for acquiring subject information of a subject being executed on the request source OS stored in the subject information storage unit when there is a request for access from the client, and execution on the request source OS
  • a subject that describes subject information to be assigned to access request proxy means for each type of subject being The subject information conversion database, the subject information of the subject being executed on the request source OS acquired by the subject information acquisition means, and the subject information conversion database collated with the subject information conversion database, and the subject information assigned to the access request proxy means
  • the access request proxy means accesses the object based on the subject information conversion means for converting the subject information, the subject information of the access request proxy means converted by the subject information conversion means, and the
  • the request source OS and the request destination OS are executed by one information processing apparatus.
  • the request source OS and the request destination OS are executed by different information processing apparatuses. Further, according to the present invention, when the subject that is the access subject on the request source OS issues an access request to the object that is the access target on the request destination OS, the request source OS on the request source OS It is characterized in that the access authority judgment is performed according to the authority of the subject.
  • the present invention is characterized in that the request destination OS queries the request source OS for the subject's subform information.
  • Access information in the second step based on subject information of the access request and object information of the object to be accessed.
  • a fourth Sutetsu flop determines permissions, characterized in that it comprises a.
  • the present invention is characterized in that the request source OS notifies subject information of the access request source subject to the request destination OS.
  • the request source OS when the request source OS receives an access request from a subject, the request information is added to the subject information of the request source subject in the access request, and the access request is notified to the request destination OS.
  • the requested OS upon receiving the access request from the requesting OS, stores the subject information of the subject contained therein in the subject information storage unit, and A second step of executing an access request on a request source OS and a subject information storage of a subject executed on the request source OS when there is an access request according to the second step.
  • a second step based on subject information of the access request according to the second step and the object information of the object to be accessed, which are converted by the fourth step and the fourth step; And a fifth step of determining the right of the access request by the user.
  • the present invention provides the subject information of the subject to be executed after switching each time the request source OS switches the execution subject in the request source OS, and the subject on the request destination OS.
  • Subject information of the subject and the subject information conversion database, and subject information to be assigned to the access request proxy means Based on the fourth step to convert, the subject information of the access request according to the second step converted by the fourth step, and the object information of the object to be accessed, the second step. And a fifth step of determining the authority of the access request by the step.
  • the request source OS and the request destination OS are executed by one information processing apparatus.
  • the request source OS and the request destination OS are executed by different information processing apparatuses.
  • the request source OS on the request source OS when the subject which is the access subject on the request source OS issues an access request to the object which is the access target on the request destination OS, the request source OS on the request source OS It is characterized in that the access authority processing is performed according to the authority of the subject.
  • the present invention is characterized in that the request destination OS queries the request source OS for the subject's subform information.
  • the request destination OS is a request source, which is an access request from the request source OS.
  • the subject information of the subject that is executed on the request source OS acquired in the second process are compared with the subject information conversion database, and the subject information assigned to the access request proxy means is converted.
  • a third process access by the second process based on sub information of the access request by the first process converted by the third process, and object information of an object to be accessed
  • a fourth process for determining the right of the request is a fourth process for determining the right of the request.
  • the present invention is characterized in that the request source OS notifies subject information of the access request source subject to the request destination OS.
  • the request source OS when the request source OS receives an access request from a subject, the request information is added to the subject information of the request source subject in the access request, and the access request is notified to the request destination OS.
  • the request destination OS receives an access request from the request source OS
  • the subject information stored in the subject is stored in the subject information storage unit, and From the subject information storage unit, subject information of a subject being executed on the request source OS when there is a second process of proxying an access request on the request source OS and an access request by the second process
  • the present invention provides the subject information of the subject to be executed after the switching from the request source OS to the subject on the request destination OS every time the switching task of the execution subject occurs in the request source OS.
  • a third process of acquiring subject information of the subject in the subject information storage unit, subject information of the subject to be executed on the request source OS acquired in the third process, and the subject information conversion database A second process of converting subject information to be assigned to the access request proxy means, subject information of the access request by the second process converted by the fourth process, and a subject of the access And a fifth process of determining the authority of the access request by the second process based on object information of the object. .
  • the request source OS and the request destination OS are executed by one information processing apparatus.
  • the request source OS and the request destination OS are executed by different information processing apparatuses.
  • the first effect is that the access authority to the subject on the request source OS can be set more finely than in the past.
  • the system administrator of the request destination OS is able to set the power of each subject even for the subject on the request source OS
  • the reason is that the subject information conversion database can set subject information to be assigned to each subject on the request source OS.
  • the second effect is that even if the requesting source OS security vulnerability is exploited, and the requesting source OS's right holder authority is taken and unauthorized access is made, the access authority check of this patent is performed by the user. In addition, based on subject information, damage can be minimized.
  • the reason is that the information of the subject being executed on the request source OS can be referenced from the request destination OS.
  • FIG. 1 is a block diagram showing a configuration of a best mode for carrying out the first invention of the present invention. Ru.
  • FIG. 2 is a diagram showing the first half of a specific example of the operation of the best mode for carrying out the first invention.
  • FIG. 3 is a diagram showing the second half of a specific example of the operation of the best mode for carrying out the first invention.
  • FIG. 4 is a block diagram showing the configuration of a best mode for carrying out the second invention of the present invention.
  • FIG. 5 is a diagram showing a first half of a specific example of the operation of the best mode for carrying out the second invention.
  • FIG. 6 is a diagram showing the second half of a specific example of the operation of the best mode for carrying out the second invention.
  • FIG. 7 is a block diagram showing the configuration of a best mode for carrying out the third invention of the present invention.
  • FIG. 8 A diagram showing a first half of a specific example of the operation of the best mode for carrying out the third invention.
  • FIG. 9 is a diagram showing the second half of a specific example of the operation of the best mode for carrying out the third invention.
  • FIG. 10 shows a specific example of a subject information conversion database 207.
  • the first best mode of the present invention is configured of a request source OS and a request destination OS that can communicate with each other.
  • the request source OS 1 includes an access request unit 101, an access processing unit A 102, a subject information storage unit A 103, and a communication unit A 104.
  • the access request means 101 is a subject executed in the request source OS 1 and is an access entity that requests access to the object 204 of the request destination OS 2.
  • a process operating on the request source OS 1 or the like corresponds to the access request means 101.
  • the access processing means A 102 corresponds to the kernel of the request source OS 1 and is a part that performs basic control of the request source OS 1 such as subject management, memory management, interrupt management, and inter-subject communication.
  • this access processing means A 102 receives an access request from the access request means 101
  • the access request is sent to the communication unit A104.
  • the subject information storage unit A 103 stores the subject information of the access request means 101.
  • the communication unit A 104 is a communication interface between the request source OS 1 and the request destination OS 2.
  • the request destination OS 2 includes the communication unit B 201 and access request proxy means 202, access processing means B 203, object 204, subject information acquisition means 205, subject information conversion means 206, access authority determination means 207, subject information conversion. It comprises a database 208 and a subject information storage unit B209.
  • the communication unit B 201 is a communication interface between the request source OS 1 and the request destination OS 2.
  • the access request proxy means 202 receives an access request from the request source OS 1 and executes the access request.
  • the access request issued by the access request unit 101 in the request source OS 1 is treated as an access request issued by the access request proxy unit 202 in the request destination OS 2.
  • the UML process running on the request destination OS 2, the NFS daemon, and the like correspond to the access request proxy means 202.
  • the access processing means B 203 corresponds to the kernel of the request destination OS 2 and is a part that performs basic control of the system such as subject management, memory management, interrupt management, and inter-subject communication.
  • the access processing unit B 203 When there is an access request from the access request proxy unit 201, the access processing unit B 203 includes the subject information of the access request proxy unit 202 and the object of the access target object 204, which are included in the access request. Execute access processing based on the information.
  • the object 204 is a subject's access target.
  • the object 204 is a file, a directory, a semaphore, a pipe, a FIFO, a message, a shared memory, a socket, etc.
  • the subject information acquisition means 205 is a means for acquiring the subject information of the access request means 101.
  • the subject information acquisition unit 205 acquires subject information stored in the subject information storage unit A103 via the communication unit B201, the communication unit A104, and the access processing unit A102.
  • the subject information conversion unit 206 passes the subject to the access authority determination unit 207. Convert information into appropriate subject information.
  • the access processing means B 203 on the request destination OS 2 sends the access request proxy means 202 to the object 204. It is regarded as an access request.
  • the subject information conversion means 206 receives the access request, it obtains the subject information of the access request means 101 via the subject information acquisition means 205.
  • the subject information of the access request proxy means 202 is converted, and the converted subject information is passed to the access authority judgment means 207.
  • the access authority determination means 207 sets subject information of the request source subject and object information of the request destination object for an access request to be executed. Based on that, decide whether or not to grant the power to grant the access.
  • the access authority determination means 207 is called each time an access request arrives at the access processing means B 203, the access permission is granted every time the subject issues an access request for all subjects executed in the request destination OS 1. I am afraid that a decision will be made.
  • the subject information conversion database 208 includes subject information on the request source OS 1 and subject information to be assigned to the subject on the request destination OS for each of the access request means 101 on the request source OS 1 Saved! .
  • the subject information storage unit B 209 stores the subject information of the access request proxy means 202.
  • the subject information conversion means 206 converts the subject information of the access request proxy means 202, the subject information before conversion is saved in this storage unit.
  • the subject conversion means 206 returns an access request to the access processing means B 203
  • the subject information of the access request is returned to the subject information saved in the storage unit, and is returned.
  • the request source OS 1 and the request destination OS 2 are executed by the same information processing apparatus as in the UML, the communication unit A 104 and the communication unit B 210 do not exist.
  • the access request is directly notified to the access request proxy means 101 of the request destination OS 2 without passing through the unit.
  • the subject information acquisition unit 205 also acquires subject information stored in the subject information storage unit A 103 only via the access processing unit A 102 without using the communication unit.
  • the access request means 101 issues an access request to the object 204 (step S 1), and the access processing means
  • a 102 notifies the access request proxy means 202 of the access request via the communication unit A 104 and the communication unit B 201 (step S 2).
  • the access request proxy unit 202 executes the received access request (step S3).
  • the access processing means B 202 notifies the subject information conversion means 206 of the received access request (step S 4).
  • the subject information acquisition unit 205 acquires subject information of the access request unit 101 from the subject information storage unit A 103 via the communication unit B 201, the communication unit A 104, and the access processing unit A 102, and converts the subject information. Inform the means 206 (step S5).
  • the subject information conversion means 206 assigns subject information to the access request proxy means 202 based on the subject information acquired in the previous step and the subject information conversion database 208, and acquires subject information (step S6). ).
  • the subject information conversion means 206 saves the subject information originally assigned to the access request proxy means 202 in the subject information storage unit B 209, and reassigns the subject information acquired in the previous step ((6) Step S7).
  • the subject information conversion means 206 requests the access right judgment means 207 to make an access right judgment (step S 8).
  • the access authority determination means 207 checks the subject information and the object of the access request. Based on the event information, it is determined whether the access is permitted or not permitted, and the determination result is notified to the object information conversion means 206 (step S9).
  • the subject information conversion means 206 returns the subject information of the access request proxy means 202 to the subject information saved in the subject information storage unit B 209, and the determination result of the previous step is sent to the access processing means 203. Return (step S10).
  • the access processing means B 203 performs the access process to the object if the determination result is permitted, and the determination result is not permitted. If so, the process for accessing the object is not performed.
  • the subject information acquisition unit 205, the communication unit B 201, the communication unit A 104, the access processing unit A 102, and the access request unit from the subject information storage unit A 203 The subject information acquisition and conversion means 206 acquires the subject information of 101 and the subject information acquisition and conversion means 206 replaces the subject information of the access request proxy means 202 according to the subject information, so the access authority judgment according to the type of access request means 101 is performed. be able to.
  • the access right to the access request means 101 is All judgment policies can be managed collectively at the request destination OS
  • the system administrator can reduce the time and effort required for constructing the access authority determination system.
  • the present embodiment it is easy to make the existing access authority determination means 207 handle a hand, and from the access request means 101 of the request source OS 1.
  • An access authority determination system corresponding to an access request can be constructed.
  • the security vulnerability of the request source OS is grasped, and even if the requestor OS rights holder's authority is taken and the unauthorized access is made, the access of this patent is Since the authority check is based on subject information regardless of the user, damage is minimized Can be limited.
  • the best mode for carrying out the second invention of the present invention is compared with the best mode for carrying out the first invention, and the subject information in the request destination OS 2 Storage unit
  • the subject information storage unit C 210 is a storage area for the access request proxy means A 202 to save the subject information of the access request means 101.
  • the operations of the access processing means A 102, the access request proxy means 202, and the sub-state information acquisition means 205 are different, and therefore will be described below.
  • the access processing unit A 102 transmits the access request to the communication unit A 104 including the subject information stored in the subject information storage unit A 103.
  • the access request proxy means 202 receives an access request from the request source OS 1, and subjects information in the access request means 101 contained therein is stored in the subject information storage unit.
  • the subject information acquisition means 205 acquires subject information of the access request means 101 stored in the subject information storage unit C210.
  • the communication unit A 104 and the communication unit B 210 do not exist.
  • step S 1 when the access request means 101 issues an access request to the object 204 (step S 1), the access processing means A 102 responds to the access request by the subject information storage unit A 1. 03 including the subject information stored in 03, via the communication unit A104 and the communication unit B201
  • the access request proxy unit 202 stores the subject information of the access request unit 101 included in the received access request in the subject information storage unit C 210 (step S 3), and further receives the received access request. (Step S4).
  • the access processing means B 202 notifies the subject information conversion means 206 of the received access request (step S 5).
  • the subject information acquisition unit 205 receives the subject information storage unit A10 from the subject information storage unit C210.
  • Subject information of access request means 101 to 3 is acquired, and subject information conversion means
  • subject information conversion means 206 assigns subject information to access request proxy means 202 based on the subject information acquired in the previous step and subject information conversion database 208, and acquires subject information (step S). 7).
  • the subject information conversion means 206 saves the subject information originally assigned to the access request proxy means 202 in the subject information storage unit B 209, and reassigns the subject information acquired in the previous step ( Step S8).
  • the subject information conversion unit 206 requests the access permission determination unit 207 to determine the access permission (step S9).
  • the access authority determination means 207 determines whether the access is permitted or not, and the determination result is used as the subject information conversion means 206. Notify (step S10).
  • the subject information conversion means 206 returns the subject information of the access request proxy means 202 to the subject information saved in the subject information storage unit B 209, and the determination result of the previous step is sent to the access processing means 203. Return (step S11).
  • the access processing means B 203 performs access processing to the object if the determination result is permitted, and the determination result is not permitted. If so, the process for accessing the object is not performed. (Step S 12 ) o
  • the access request proxy unit 202 stores the subject information of the access request unit 101 in the subject information storage unit C 210, and the subject information acquisition unit 205. Since the subject information of the access request means 101 is acquired from the subject information storage unit C 210 and the subject information conversion means 206 replaces the subject information of the access request proxy means 202 according to the subject information, the access request means 101 of It is possible to determine the access authority according to the type.
  • access right to access request means 101 is All judgment policies can be managed collectively at the request destination OS
  • the system administrator can reduce the time and effort required for constructing the access authority determination system.
  • the present embodiment it is easy to make the existing access authority determination unit 207 handle a hand, and the access request unit 101 of the request source OS 1 An access authority determination system corresponding to an access request can be constructed.
  • the access of this patent is not limited. Since the authority check is based on the subject information regardless of the user, the damage can be minimized.
  • the best mode for carrying out the third invention of the present invention is compared with the best mode for carrying out the first invention in the request source OS 1 and in the subject information. It differs in that it has the notification means 105 and has the subject information storage unit C210 in the request destination OS2.
  • the subject information notification means 105 receives subject information of a subject to be executed after the switch when a context switch occurs on the access processing means A 102. It is transmitted to the access request proxy unit 101 via the communication unit A 104 and the communication unit B 210.
  • the context switch is a task of switching the execution subject in the multitasking OS.
  • the subject information storage unit C210 is a storage area for the subject information notification means 105 to save subject information.
  • access request proxy means 101 receives the notification of the subject information from subject information notification means 105 of request source OS 1, and the subject Store information in subject information storage section C210
  • the subject information acquisition unit 205 acquires the subject information of the access request unit 101 stored in the subject information storage unit C210.
  • the communication unit A 104 and the communication unit B 210 do not exist, so the access request unit 101 and the subject information
  • the notification to the request destination OS 2 by the notification unit 105 is directly notified to the access request proxy unit 101 of the request destination OS 2 without passing through the communication unit.
  • the access information processing means A 102 of the request source OS 1 notifies the access request proxy means 101 of the subject information of the active subject, and the access request proxy means 101
  • the means 101 stores it in the subject information storage unit C 210 (step Sl).
  • step S2 when the access request unit 101 issues an access request to the object 204 (step S2), the access processing unit A 102 transmits the access request to the access request proxy unit via the communication unit A 104 and the communication unit B 201. Notify 202 (step S3). Next, the access request proxy unit 202 executes the received access request (step S4).
  • the access processing means B 202 notifies the subject information conversion means 206 of the received access request (step S 5).
  • the subject information acquisition unit 205 acquires the subject information of the access request unit 101 from the subject information storage unit C 210 and notifies the subject information conversion unit 206 (step S 6).
  • the subject information conversion means 206 assigns the new information to the access request proxy means 202, and acquires the subject information step S7. ).
  • the subject information conversion means 206 saves the subject information originally assigned to the access request proxy means 202 in the subject information storage unit B 209, and reassigns the subject information acquired in the previous step ((5) Step S8).
  • the subject information conversion means 206 requests the access authority determination means 207 to determine the access authority (step S 9).
  • the access authority determination means 207 determines whether the access is permitted or not, and the determination result is used as the subject information conversion means 206. Notify (step S10).
  • the subject information conversion means 206 returns the subject information of the access request proxy means 202 to the subject information saved in the subject information storage unit B 209, and the determination result of the previous step is sent to the access processing means 203. Return (step S11).
  • the access processing means B 203 executes the access process to the object if the determination result is permission, and the determination result is not permitted. If so, the process for accessing the object is not performed. (Step S 12
  • the access request proxy unit 202 stores the subject information of the access request unit 101 in the subject information storage unit C210.
  • the subject information acquisition unit 205 acquires the subject information of the access request unit 101 from the subject information storage unit C210, and the subject information conversion unit 206 receives the subject information of the access request proxy unit 202 according to the subject information.
  • the access right to the access request means 101 is All judgment policies can be managed collectively at the request destination OS
  • the system administrator can reduce the time and effort required for constructing the access authority determination system.
  • the existing access authority determination means 207 handle the request from the access request means 101 of the request source OS 1 easily.
  • An access authority determination system corresponding to an access request can be constructed.
  • the security vulnerability of the request source OS is grasped, and the access of this patent is performed even if the requestor OS rights holder's authority is taken and the unauthorized access is made. Since the authority check is based on the subject information regardless of the user, the damage can be minimized.
  • the present embodiment is a virtual machine environment in one information processing apparatus, and a personal computer as the information processing apparatus, UML as the request source OS 1 and Linu as the request destination OS
  • the access request means 101 can be regarded as an application process operating on UML for the components in the request source OS 1 in FIG.
  • the request processing means A 102 can be regarded as a UML kernel.
  • the subject information storage unit A103 stores subject information stored in the main memory. It can be considered as storage area A, where the absolute path of the application process's executable file (eg ZusrZlocalZbinZapp3) is stored!
  • the access request proxy means 202 can be regarded as an execution process of the UML kernel for the components in the request destination OS 2 in FIG.
  • Measures B203 can be regarded as a host Linux kernel
  • an object 204 can be regarded as a certain file A on the host Linux
  • the subject information acquisition means 205 can be regarded as a subject information acquisition module operating in the kernel.
  • the subject information conversion means 206 can be regarded as a subject information conversion module operating in the kernel
  • the access authority judgment means 207 can be regarded as SELinux.
  • the subject information storage unit B 209 can be regarded as the subject information storage area B in the main storage, and stores SELinux's SID (Security ID).
  • a SID is an identifier that SELinux assigns to all subjects and objects on the OS. SELinux compares the SID assigned to each process when accessing a file, and performs access permission determination. I hate it.
  • the subject information conversion database 208 is a subject information conversion database storage area on the main memory, and path information of the process execution file on the UML and SID power assigned to the process are stored for each process. To be.
  • FIG. 1 An example is shown in FIG. 1
  • the UML kernel hosts the information on the UML kernel on Linux Notify the execution process of
  • the host Linux kernel interprets the issued system call as a system call for the UML kernel execution process to read the file.
  • the subordinate information acquisition module queries the UML kernel on the UML to acquire the absolute path of the execution file of the application process.
  • the subject information conversion module acquires the SID to be allocated to the execution process of the UML kernel.
  • the absolute path of the application process execution file is ZusrZlocalZbinZapp3, so 13 is acquired as the SID.
  • the subject information conversion module is originally assigned to the execution process of the UML kernel! /, Saves the SID in the subject information storage area B, and attaches the acquired SID to the execution process of the UML kernel. Then, ask SELinux for access permission determination, and SELinux performs access permission determination based on SID 13 assigned to the execution process of the UML kernel and SID assigned to file A.
  • the access authority determination When the access authority determination is performed, the result that the result of access permission or non-permission will be returned to the subject information conversion module.
  • the subject information conversion module is stored in the subject information storage area B.
  • the original SID of the UML kernel execution process is returned to the UML process execution process.
  • the subject information conversion module hosts the process on Linux Return to the kernel.
  • the host Linux kernel performs actual access processing based on the result of access permission determination in SELinux.
  • the access process is not executed.
  • An advantageous embodiment corresponds to the second embodiment of the present invention.
  • the present embodiment is different from the configuration of the first embodiment in that the subject information storage unit C 210 is provided on the host Linux, but the other configuration is the same.
  • the subject information storage unit C 210 can be regarded as a subject information storage area C secured in the main memory, in which the absolute path of the application process is stored.
  • the UML kernel when a system call for reading application process power file A on UML is issued, the UML kernel includes the absolute path of the application process execution file in its information, the execution process of the UML kernel on host Linux Notify me.
  • the UML kernel execution process that has received it first saves the absolute path of the application process that has been sent in the subject information storage area C.
  • the host Linux kernel interprets the issued system call as a system call for the process executed by the UML kernel to read a file.
  • the host Linux kernel will perform read processing Before that, it queries the subject information storage module power subject information storage area C to acquire the absolute path of the application process execution file. Then, based on the absolute path and the information stored in the subject information conversion database storage area, the subject information conversion module acquires the SID to be allocated to the execution process of the UML kernel.
  • the absolute path of the application process execution file is ZusrZlocalZbinZapp3, so 13 is acquired as the SID.
  • the subject information conversion module is originally assigned to the execution process of the UML kernel! /, Saves the SID in the subject information storage area B, and attaches the acquired SID to the execution process of the UML kernel. Then, ask SELinux for access permission determination, and SELinux performs access permission determination based on SID 13 assigned to the execution process of the UML kernel and SID assigned to file A.
  • the subject information conversion module returns the process to the host Linux kernel.
  • the host Linux kernel performs actual access processing based on the result of access authorization determination in SELinux.
  • the access process is not executed.
  • the present embodiment has the subject information notification means 105 in the UML, as compared to the first embodiment. Differs in that it has a subject information storage unit C 210 on the host Linux.
  • the subject information notification means 105 can be regarded as a subject notification means module that notifies subject information storage C of the subject information of the process after the switch, whenever the context switch occurs.
  • the subject information storage unit C 210 can be regarded as a subject information storage area C secured in the main memory, in which the absolute path of the execution process of the application process is stored.
  • subject information notification module strength The absolute path of the application process execution file is stored in the subject information storage area C via the execution process of the UML kernel.
  • the host Linux kernel interprets the issued system call as a system call for the process executed by the UML kernel to read a file.
  • the host Linux kernel will perform read processing Before that, the subject information storage module power subject information storage area C is inquired to acquire the absolute path of the application process execution file.
  • the subject information conversion module acquires the SID to be allocated to the execution process of the UML kernel.
  • the absolute path of the application process execution file is ZusrZlocalZbinZapp3, so 13 is acquired as the SID.
  • the subject information conversion module is originally assigned to the process of executing the UML kernel! /, Saves the SID in the subject information storage area B, and attaches the acquired SID to the process of executing the UML kernel. Then, ask SELinux for access permission determination, and SELinux performs access permission determination based on SID 13 assigned to the execution process of the UML kernel and SID assigned to file A.
  • the system call from the process of executing the UML kernel is replaced with an appropriate SID according to the application process on the UML that has become the source of the system call, and the access authority is thus changed. A decision will be made.
  • the access authority determination When the access authority determination is performed, the result that the result of access permission or non-permission will be returned to the subject information conversion module.
  • the subject information conversion module is stored in the subject information storage area B.
  • the original SID of the UML kernel execution process is returned to the UML process execution process.
  • the subject information conversion module returns the process to the host Linux kernel.
  • the host Linux kernel performs actual access processing based on the result of access permission determination in SELinux.
  • the access process is not executed.
  • a personal computer is used as an information processing apparatus
  • a CPU such as a work station, a PDA, a mobile phone, etc.
  • Any information processing apparatus having a main storage and an external storage device may be used.
  • each storage unit and the subject information conversion database may be secured in the main storage on the external storage device.
  • an OS operating on a virtual machine such as VMware or Xen may be used.
  • OS instead of using Linux as the request destination OS, access from other OS such as Windows (registered trademark) or UNIX (registered trademark) -based OS is used. Any OS can be used as long as it can accept requests!
  • SELinux is used as the access authority determination program. Instead, access such as LIDS can be used to control all access requests executed on the OS. If it is the authority judgment means 207, what kind of thing may be used! /.
  • an identifier that can uniquely distinguish the application process such as PID instead of using the absolute path of the executable file as subject information of the application process. If you do, it does not matter what you use!
  • the subject information storage area B is configured to store the SID (Security ID) of SELinux.
  • Access authority determination system power An identifier used as subject information If it is information that contains, it is a power to save anything.
  • the subject information conversion database 208 stores the path of the process executable file on the UML and the SID to be assigned to the process, but instead, the UML Information that identifies the process on the request source OS1 such as the PID of the above process and the SID of SELinux, etc., and an identifier for access authority determination assigned to that process are saved, and what is saved You may.
  • only one guest OS is executed on the host OS, but a plurality of guest OSs may be started.
  • a virtual machine environment in one information processing apparatus is assumed.
  • a request source OS and a request destination OS are installed in two information processing apparatuses, respectively.
  • the present invention may be applied to an environment where computer resources in an information processing apparatus can be cross-referenced by communication programs such as NFS and Samba.
  • the access request proxy means 202 in FIGS. 1, 4 and 7 will mean a server process of the communication program.
  • one information processing apparatus executes one host OS and uses it as an access authority determination system in a virtual machine environment in which a plurality of guest OSs can be started thereon. be able to.
  • each information processing apparatus is used as an access right determination system for protecting the internal computer resources. be able to.

Abstract

第１の問題点は、要求元ＯＳ上で実行されているサブジェクトの情報を、要求先ＯＳから参照できないことである。第２の問題点は、要求元ＯＳ 上で実行されているサブジェクトの情報をもとに、要求元ＯＳ上でアクセス権限判定ができないことである。要求元ＯＳ上のアクセス主体であるサブジェクトが、要求先ＯＳ上のアクセス対象であるオブジェクトへアクセス要求を出す時に、要求先ＯＳからサブジェクトのサブジェクト情報を取得することで、もしくは、そのアクセス要求の中にサブジェクト情報を追加することで、もしくは、要求元ＯＳ 上で実行サブジェクトの切り替えが起こる時に、切り替え後のサブジェクト情報を要求先ＯＳに通知することで、前記要求元ＯＳ上で実行されているサブジェクトの権限に応じて、アクセス権限判定を行う。

Description

明 細 書
アクセス権限判定システム、アクセス権限判定方法及びアクセス権限判定 プログラム
技術分野
[0001] 本発明はアクセス権限判定システム、アクセス権限判定方法及びアクセス権限判定 プログラムに関し、特に異なる OS間において、アクセス要求元 OSとアクセス要求先 OSで間のアクセス権限判定システム、アクセス権限判定方法及びアクセス権限判定 プログラムに関する。 背景技術
[0002] 複数の情報処理装置がネットワークで接続されて 、る環境にぉ 、て、 NFS (Netw ork File System)や Sambaなどを介し、異なる OS (Operating System)間で、 アクセス要求を実行することができる。
[0003] ここでいうアクセス要求とは、アクセス主体であるサブジェクト（プロセスやスレッドな ど）力 オブジェクト（ファイル、ディレクトリ、ヒープ、スタック、セマフォ、 FIFO (First -In First -Out)、メッセージ、共有メモリ、ソケットなどのコンピュータ資源）に対し てアクセスすることである。
[0004] つまり、上記の環境で例えると、 1台の情報処理装置に Windows (登録商標）がィ ンストールされ、別の情報処理装置に Linuxがインストールされている環境では、 Wi ndows (登録商標）上のプロセスが、 Sambaを介し Linux上のファイルにアクセスす ることがでさる。
[0005] また、 1台の情報処理装置であっても、その中で仮想マシン環境を構築することで、 ゲスト OSとホスト OS間で、アクセス要求を実行することができる。
[0006] 例えば、 UML (User— mode Linux)環境において、 UML上で実行されている プロセスから、ホス
ト Linuxのファイルに対して、 Host Filesystemを介して、ファイルアクセスすること ができる。
[0007] し力し、この異なる OS間でのアクセス要求を利用して、要求元 OS上のサブジェクト から、要求先 OS上のリソースに対する不正アクセスがなされると、要求先 OSが正常 に動作しなくなってしまう可能性がある。
[0008] 例えば、 UML環境にお!、て、 UML上で動作するプロセスがホスト Linux上のシス テムファイルを不正に改ざんすることで、ホスト Linuxが正常に動作しなくなってしまう 可能性がある。
[0009] こうした問題を解決するために、要求元 OS上のサブジェクトから、要求先 OS上の オブジェクトに対するアクセス要求を検証できるアクセス権限判定システムが必要とさ れており、特に、以下の 3つの用件を満たすアクセス権限判定システムが求められて いる。
[0010] 第 1の要件として、要求元 OS上で動作するサブジェクトの権限の種類に応じて、ァ クセス権限判定を行うことができるアクセス権限判定システムが求められている。
[0011] 例えば、要求元 OS上のシステム管理者権限で実行されるプロセスには、要求先 O S上の数多くのファイルに書き込みすることができるよう権限設定ができ、また、要求 元 OS上の一般ユーザ権限で実行されるプロセスには、わずかなファイルの読み込 みだけを許可するよう権限設定ができるようなアクセス権限判定システムが求められ ている。
[0012] 第 2の要件として、要求先 OSには、セキュリティ対策としてすでにアクセス権限判定 システムがインストールされていることが多いため、その要求先 OS上のアクセス権限 判定システムを活用し、わずかな改造をカ卩えるだけで、要求元 OSからのアクセス要 求にも対応できるアクセス権限判定システムが求められている。
[0013] 第 3の要件として、要求元 OS上の全てのサブジェクトに関して、アクセス権限判定 が行えるアクセス権限判定システムが求められている。
[0014] 要求元 OS上のサブジェクトから、要求先 OS上のオブジェクトに対するアクセス要 求において、必ず全てのアクセス要求について、そのアクセス権限判定が行われる 必要がある。
[0015] これに対し、従来、この種のアクセス権限判定システムは、 1つの OS内でサブジエ タトからオブジェクトに対する不正アクセスを禁止するため、例えば、特許文献 1、非 特許文献 1に示されるように、サブジェクトがオブジェクトにアクセスする時に、 OS内 部で、あら力じめ用意されたアクセスポリシをもとに、そのアクセスが有効であるかどう かを検証し、許可されたアクセスだけを実行し、不許可のアクセスは実行しないことに している。
[0016] このアクセス権限判定システムは、上記の第 3の用件を満たしている。
[0017] また、従来、この種のアクセス権限判定システムは、複数の OS間でサブジェクトから オブジェクトに対する不正アクセスを禁止するため、例えば特許文献 2に示されるよう に、 OS間の通信部分に、別途アクセス権限判定手段 207と、アクセスポリシを用意し 、要求元 OS上のサブジェクトが要求先の OS上のオブジェクトにアクセスする時に、 アクセス権限判定手段 207で、アクセスポリシをもとに、そのアクセスが有効であるか どうかを検証し、許可されたアクセスだけを実行し、不許可のアクセスは実行しないこ とにしている。
[0018] このアクセス権限判定システムは、上記の第 1、第 3の要求を満たしている。
[0019] また、従来、この種のアクセス権限判定システムは、 Linux向け仮想マシン環境で ある UML (User— mode Linux)において、 UML上のユーザから Host Filesyst emのファイルに対する不正アクセスを禁止するため、例えば、非特許文献 2に示され るように、 UML上のユーザが Host Filesystem上のファイルにアクセスする時、ァ クセス対象のファイルのパーミッションを検証し、パーミッションに合うアクセスだけを 実行し、合わな 、アクセスは実行しな 、ことにして！/、る。
[0020] このアクセス権限判定システムは、上記の第 2の要求を満たしている。
特許文献 1 :特開 2002— 149494号公報
特許文献 2：特開 2003 - 345654号公報
特干文献 1： Security— Enhanced Linux URL:http:// www.nsa.gov/selinux/ 特干文献 2 : The User-mode Linux Kernel HomePage URL http://user— mode— iinu x . s ourceforge .net/
発明の開示
発明が解決しょうとする課題
[0021] 第 1の問題点は、要求元 OS上で実行されているサブジェクトの情報を、要求先 OS から参照できな!ヽことである。 [0022] その理由は、要求元 OS上で実行されているサブジェクトの情報は、全て要求元 OS 内で管理されて 、るからである。
[0023] 例えば、 UMLを Linux上で起動した場合、 UML上で複数のプロセスを実行して いても、そのプロセス情報は全て UMLカーネル内で管理されており、要求先 OSの L inuxからはそれぞれのプロセス情報を直接参照できない。
[0024] 第 2の問題点は、要求元 OS上で実行されているサブジェクトの情報をもとに、要求 元 OS上でアクセス権限判定ができないことである。
[0025] その理由は、第 1の問題点の理由と同じである。
[0026] 第 3の問題点は、要求元 OS上で実行されているサブジェクトの情報をもとに、要求 元 OS上で、全てのアクセス要求に対するアクセス権限判定ができないことである。
[0027] その理由は、第 1の問題点の理由と同じである。
[0028] なお、これらの問題点が解決されると、背景技術で述べたアクセス権限判定システ ムに求められる 3つの要件を満たしたアクセス制御判定システムを構築することがで きる。
[0029] [発明の目的]
本発明の目的は、要求元 OS上で実行されているサブジェクトの情報を、要求先 O
Sから参照することができるアクセス権限判定システム、アクセス権限判定方法及びァ クセス権限判定プログラムを提供することである。
[0030] 本発明の他の目的は、要求元 OS上で実行されているサブジェクトの情報をもとに、 要求元 OS上でアクセス権限判定ができるアクセス権限判定システム、アクセス権限 判定方法及びアクセス権限判定プログラムを提供することである。
[0031] また、本発明の他の目的は、要求元 OS上で実行されているサブジェクトの情報をも とに、要求元 OS上で、全てのアクセス要求に対するアクセス権限判定ができるァクセ ス権限判定システム、アクセス権限判定方法及びアクセス権限判定プログラムを提供 することである。
課題を解決するための手段
[0032] 本発明は、上記課題を解決するための手段として、要求元 OS上のアクセス主体で あるサブジェクトが、要求先 OS上のアクセス対象であるオブジェクトへアクセス要求を 出す時に、前記要求先 OS上で、前記要求元 OS上で実行されているサブジェクトの 権限に応じて、アクセス権限判定を行うことを特徴とする。
[0033] また、本発明は、前記要求先 OSが、前記要求元 OSに前記サブジェクトのサブジエ タト情報を問 ヽ合わせることを特徴する。
[0034] また、本発明は、前記要求先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上で代理実行するアクセス要求代理手段と、前記アクセス要求代理手段からのァ クセス要求があった時に、前記要求元 OS上で実行されて 、るサブジェクトのサブジ ェクト情報を要求元 OSから取得するサブジェクト情報取得手段と、前記要求元 OS上 で実行されているサブジェクトの種類ごとに、アクセス要求代理手段に割り当てるサ ブジェクト情報を記述したサブジェクト情報変換データベースと、前記サブジェクト情 報取得手段が取得した、前記要求元 OS上で実行されて 、るサブジェクトのサブジエ タト情報と、前記サブジェクト情報変換データベースを照合し、アクセス要求代理手段 に割り当てるサブジェクト情報を変換するサブジェクト情報変換手段と、前記サブジエ タト情報変換手段が変換した前記アクセス要求代理手段のサブジェクト情報と、その アクセス対象のオブジェクトのオブジェクト情報をもとに、前記アクセス要求代理手段 がオブジェクトにアクセスする権限があるかどうかを判定するアクセス権限判定手段と 、を備えることを特徴とする。
[0035] また、本発明は、前記要求元 OSが、アクセス要求元サブジェクトのサブジェクト情 報を、前記要求先 OSに通知することを特徴とする。
[0036] また、本発明は、前記要求元 OSが、サブジェクトからのアクセス要求を受け付ける と、アクセス要求の中に要求元サブジェクトのサブジェクト情報を追カ卩し、アクセス要 求を要求先 OSに通知するアクセス処理手段を備えており、前記要求先 OSが、前記 要求元 OSからのアクセス要求を受け付けると、その中に含まれて 、る前記サブジエ タトのサブジェクト情報を、サブジェクト情報記憶部に保存し、次にアクセス要求を要 求元 OS上で代理実行するアクセス要求代理手段と、前記アクセス要求代理手段か らのアクセス要求があった時に、前記サブジェクト情報記憶部に保存されている、前 記要求元 OS上で実行されているサブジェクトのサブジェクト情報を取得するサブジエ タト情報取得手段と、前記要求元 OS上で実行されているサブジェクトの種類ごとに、 アクセス要求代理手段に割り当てるサブジェクト情報を記述したサブジェクト情報変 換データベースと、前記サブジェクト情報取得手段が取得した、前記要求元 os上で 実行されて 、るサブジェクトのサブジェクト情報と、前記サブジェクト情報変換データ ベースを照合し、アクセス要求代理手段に割り当てるサブジェクト情報を変換するサ ブジェクト情報変換手段と、前記サブジェクト情報変換手段が変換した前記アクセス 要求代理手段のサブジェクト情報と、そのアクセス対象のオブジェクトのオブジェクト 情報をもとに、前記アクセス要求代理手段がオブジェクトにアクセスする権限があるか どうかを判定するアクセス権限判定手段と、を備えることを特徴とする。
[0037] また、本発明は、前記要求元 OSが、前記要求元 OS内で実行サブジェクトの切り替 え作業が起こるたびに、切り替え後に実行されるサブジェクトのサブジェクト情報を、 前記要求先 OS上のサブジェクト情報記憶部に保存するサブジェクト情報通知手段を 備えており、前記要求先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上 で代理実行するアクセス要求代理手段と、前記アクセス要求代理手段からのアクセス 要求があった時に、前記サブジェクト情報記憶部に保存されている、前記要求元 OS 上で実行されているサブジェクトのサブジェクト情報を取得するサブジェクト情報取得 手段と、前記要求元 OS上で実行されているサブジェクトの種類ごとに、アクセス要求 代理手段に割り当てるサブジェクト情報を記述したサブジェクト情報変換データべ一 スと、前記サブジェクト情報取得手段が取得した、前記要求元 OS上で実行されてい るサブジェクトのサブジェクト情報と、前記サブジェクト情報変換データベースを照合 し、アクセス要求代理手段に割り当てるサブジェクト情報を変換するサブジェクト情報 変換手段と、前記サブジェクト情報変換手段が変換した前記アクセス要求代理手段 のサブジェクト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、 前記アクセス要求代理手段がオブジェクトにアクセスする権限があるかどうかを判定 するアクセス権限判定手段と、を備えたことを特徴とする。
[0038] また、本発明は、前記要求元 OSと前記要求先 OSを一つの情報処理装置で実行 する。
[0039] また、本発明は、前記要求元 OSと前記要求先 OSをそれぞれ異なる情報処理装置 で実行する。 [0040] また、本発明は、要求元 OS上のアクセス主体であるサブジェクトが、要求先 OS上 のアクセス対象であるオブジェクトへアクセス要求を出す時に、前記要求先 OS上で、 前記要求元 OS上で実行されて 、るサブジェクトの権限に応じて、アクセス権限判定 を行うことを特徴とする。
[0041] また、本発明は、前記要求先 OSが、前記要求元 OSに前記サブジェクトのサブジエ タト情報を問 ヽ合わせることを特徴する。
[0042] また、本発明は、前記要求先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上で代理実行する第 1のステップと、前記第 1のステップによるアクセス要求があ つた時に、前記要求元 OS上で実行されて 、るサブジェクトのサブジェクト情報を要求 元 OSから取得する第 2のステップと、前記第 2のステップで取得した前記要求元 OS 上で実行されて 、るサブジェクトのサブジェクト情報と、前記サブジェクト情報変換デ ータベースを照合し、アクセス要求代理手段に割り当てるサブジェクト情報を変換す る第 3のステップと、前記第 3のステップによって変換された、前記第 1のステップによ るアクセス要求のサブジェクト情報と、そのアクセス対象のオブジェクトのオブジェクト 情報をもとに、前記第 2のステップによるアクセス要求の権限を判定する第 4のステツ プと、を備えることを特徴とする。
[0043] また、本発明は、前記要求元 OSが、アクセス要求元サブジェクトのサブジェクト情 報を、前記要求先 OSに通知することを特徴とする。
[0044] また、本発明は、前記要求元 OSが、サブジェクトからのアクセス要求を受け付ける と、アクセス要求の中に要求元サブジェクトのサブジェクト情報を追カ卩し、アクセス要 求を要求先 OSに通知する第 1のステップと、前記要求先 OSが、前記要求元 OSから のアクセス要求を受け付けると、その中に含まれている前記サブジェクトのサブジェク ト情報を、サブジェクト情報記憶部に保存し、次にアクセス要求を要求元 OS上で代 理実行する第 2のステップと、前記第 2のステップによるアクセス要求があった時に、 前記要求元 OS上で実行されているサブジェクトのサブジェクト情報をサブジェクト情 報記憶部から取得する第 3のステップと、前記第 3のステップで取得した前記要求元 OS上で実行されて 、るサブジェクトのサブジェクト情報と、前記サブジェクト情報変 換データベースを照合し、アクセス要求代理手段に割り当てるサブジェクト情報を変 換する第 4のステップと、前記第 4のステップによって変換された、前記第 2のステップ によるアクセス要求のサブジェクト情報と、そのアクセス対象のオブジェクトのオブジェ タト情報をもとに、前記第 2のステップによるアクセス要求の権限を判定する第 5のス テツプと、を備えることを特徴とする。
[0045] また、本発明は、前記要求元 OSが、前記要求元 OS内で実行サブジェクトの切り替 え作業が起こるたびに、切り替え後に実行されるサブジェクトのサブジェクト情報を、 前記要求先 OS上のサブジェクト情報記憶部に保存する第 1のステップと、前記要求 先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上で代理実行する第 2 のステップと、前記第 2のステップによるアクセス要求があった時に、前記要求元 OS 上で実行されているサブジェクトのサブジェクト情報をサブジェクト情報記憶部から取 得する第 3のステップと、前記第 3のステップで取得した前記要求元 OS上で実行され て!、るサブジェクトのサブジェクト情報と、前記サブジェクト情報変換データベースを 照合し、アクセス要求代理手段に割り当てるサブジェクト情報を変換する第 4のステツ プと、前記第 4のステップによって変換された、前記第 2のステップによるアクセス要 求のサブジェクト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに 、前記第 2のステップによるアクセス要求の権限を判定する第 5のステップと、を備え ることを特徴とする。
[0046] また、本発明は、前記要求元 OSと前記要求先 OSを 1つの情報処理装置で実行す る。
[0047] また、本発明は、前記要求元 OSと前記要求先 OSをそれぞれ異なる情報処理装置 で実行する。
[0048] また、本発明は、要求元 OS上のアクセス主体であるサブジェクトが、要求先 OS上 のアクセス対象であるオブジェクトへアクセス要求を出す時に、前記要求先 OS上で、 前記要求元 OS上で実行されて 、るサブジェクトの権限に応じて、アクセス権限処理 を行うことを特徴とする。
[0049] また、本発明は、前記要求先 OSが、前記要求元 OSに前記サブジェクトのサブジエ タト情報を問 ヽ合わせることを特徴する。
[0050] また、本発明は、前記要求先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上で代理実行する第 1の処理と、前記第 1の処理によるアクセス要求があった時 に、前記要求元 OS上で実行されて 、るサブジェクトのサブジェクト情報を要求元 OS から取得する第 2の処理と、前記第 2の処理で取得した前記要求元 OS上で実行され て!、るサブジェクトのサブジェクト情報と、前記サブジェクト情報変換データベースを 照合し、アクセス要求代理手段に割り当てるサブジェクト情報を変換する第 3の処理 と、前記第 3の処理によって変換された、前記第 1の処理によるアクセス要求のサブ ジェタト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前記第 2の処理によるアクセス要求の権限を判定する第 4の処理と、を備えることを特徴とす る。
[0051] また、本発明は、前記要求元 OSが、アクセス要求元サブジェクトのサブジェクト情 報を、前記要求先 OSに通知することを特徴とする。
[0052] また、本発明は、前記要求元 OSが、サブジェクトからのアクセス要求を受け付ける と、アクセス要求の中に要求元サブジェクトのサブジェクト情報を追カ卩し、アクセス要 求を要求先 OSに通知する第 1の処理と、前記要求先 OSが、前記要求元 OSからの アクセス要求を受け付けると、その中に含まれて 、る前記サブジェクトのサブジェクト 情報を、サブジェクト情報記憶部に保存し、次にアクセス要求を要求元 OS上で代理 実行する第 2の処理と、前記第 2の処理によるアクセス要求があった時に、前記要求 元 OS上で実行されているサブジェクトのサブジェクト情報をサブジェクト情報記憶部 から取得する第 3の処理と、前記第 3の処理で取得した前記要求元 OS上で実行され て!、るサブジェクトのサブジェクト情報と、前記サブジェクト情報変換データベースを 照合し、アクセス要求代理手段に割り当てるサブジェクト情報を変換する第 4の処理 と、前記第 4の処理によって変換された、前記第 2の処理によるアクセス要求のサブ ジェタト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前記第 2の処理によるアクセス要求の権限を判定する第 5の処理と、を備えることを特徴とす る。
[0053] また、本発明は、前記要求元 OSが、前記要求元 OS内で実行サブジェクトの切り替 え作業が起こるたびに、切り替え後に実行されるサブジェクトのサブジェクト情報を、 前記要求先 OS上のサブジェクト情報記憶部に保存する第 1の処理と、前記要求先 O S力 前記要求元 OSからのアクセス要求を、要求元 OS上で代理実行する第 2の処 理と、前記第 2の処理によるアクセス要求があった時に、前記要求元 OS上で実行さ れているサブジェクトのサブジェクト情報をサブジェクト情報記憶部力 取得する第 3 の処理と、前記第 3の処理で取得した前記要求元 OS上で実行されて 、るサブジェク トのサブジェクト情報と、前記サブジェクト情報変換データベースを照合し、アクセス 要求代理手段に割り当てるサブジェクト情報を変換する第 4の処理と、前記第 4の処 理によって変換された、前記第 2の処理によるアクセス要求のサブジェクト情報と、そ のアクセス対象のオブジェクトのオブジェクト情報をもとに、前記第 2の処理によるァク セス要求の権限を判定する第 5の処理と、を備えることを特徴とする。
[0054] また、本発明は、前記要求元 OSと前記要求先 OSを 1つの情報処理装置で実行す る。
[0055] また、本発明は、前記要求元 OSと前記要求先 OSをそれぞれ異なる情報処理装置 で実行する。
発明の効果
[0056] 第 1の効果は、要求元 OS上のサブジェクトに対するアクセス権限として、従来より細 かい設定ができることにある。
[0057] この結果、要求先 OSのシステム管理者は要求元 OS上のサブジェクトに関しても、 サブジェクト毎に細力べァクセ
ス権限を付与することができる。
[0058] その理由は、サブジェクト情報変換データベースで、要求元 OS上のサブジェクトご とに割り当てるサブジェクト情報を設定できるからである。
[0059] 第 2の効果は、要求元 OSのセキュリティ的脆弱性を突かれて、要求元 OSの権利者 権限を奪われて不正アクセスされても、本特許のアクセス権限チェックは、ユーザに よらず、サブジェクト情報に立脚しているので、被害を最小限に抑えることができる。
[0060] その理由は、要求元 OS上で実行されて 、るサブジェクトの情報を、要求先 OSから 参照することができるからである。
図面の簡単な説明
[0061] [図 1]本発明の第 1の発明を実施するための最良の形態の構成を示すブロック図であ る。
[図 2]第 1の発明を実施するための最良の形態の動作の具体例の前半部分を示す図 である。
[図 3]第 1の発明を実施するための最良の形態の動作の具体例の後半部分を示す図 である。
[図 4]本発明の第 2の発明を実施するための最良の形態の構成を示すブロック図であ る。
[図 5]第 2の発明を実施するための最良の形態の動作の具体例の前半部分を示す図 である。
[図 6]第 2の発明を実施するための最良の形態の動作の具体例の後半部分を示す図 である。
[図 7]本発明の第 3の発明を実施するための最良の形態の構成を示すブロック図であ る。
[図 8]第 3の発明を実施するための最良の形態の動作の具体例の前半部分を示す図 である。
[図 9]第 3の発明を実施するための最良の形態の動作の具体例の後半部分を示す図 である。
[図 10]サブジェクト情報変換データベース 207の具体例を示す図である。
符号の説明
1 要求元 OS
101 アクセス要求手段
102 アクセス処理手段 A
103 サブジェクト情報記憶部 A
104 通信部 A
105 サブジェクト情報通知手段
2 要求先 OS
201 通信部 B
202 アクセス要求代理手段 203 アクセス処理手段 B
204 オブジェクト
205 サブジェクト情報取得手段
206 サブジェクト情報変換手段
207 サブジェクト情報変換データベース
208 サブジェクト情報記憶部 B
209 アクセス権限判定手段
210 サブジェクト情報記憶部 C
発明を実施するための最良の形態
[0063] 以下、添付図面を参照して本発明を実施するための最良の実施の形態を説明する
[0064] 図 1を参照すると、本発明の第 1の最良の形態は、互いに通信することができる要 求元 OS、要求先 OS力 構成される。
[0065] これら 2つの OSは、 1台の情報処理装置にインストールされていても、互いに別の 情報処理装置にインストールされて!/、ても構わな 、。
[0066] 要求元 OS1は、アクセス要求手段 101とアクセス処理手段 A102、サブジェクト情 報記憶部 A103、通信部 A104から構成される。
[0067] アクセス要求手段 101は、要求元 OS 1内で実行されているサブジェクトであり、要 求先 OS2のオブジェクト 204へのアクセス要求を行うアクセス主体である。
[0068] 要求元 OS1上で動作するプロセスなどがこのアクセス要求手段 101に相当する。
[0069] アクセス処理手段 A102は、要求元 OS1のカーネルに相当し、サブジェクト管理、メ モリ管理、割り込み管理、サブジェクト間通信といった要求元 OS1の基本制御を行う 部分である。
[0070] このアクセス処理手段 A102は、アクセス要求手段 101からのアクセス要求があると
、そのアクセス要求を通信部 A104に送信する。
[0071] サブジェクト情報記憶部 A103には、アクセス要求手段 101のサブジェクト情報が保 存されている。
[0072] 通信部 A104は、要求元 OS1と要求先 OS2との間の通信インタフェースである。 [0073] 一方、要求先 OS2は、通信部 B201とアクセス要求代理手段 202、アクセス処理手 段 B203、オブジェクト 204、サブジェクト情報取得手段 205、サブジェクト情報変換 手段 206、アクセス権限判定手段 207、サブジェクト情報変換データベース 208、サ ブジェクト情報記憶部 B209から構成される。
[0074] 通信部 B201は、要求元 OS1と要求先 OS2との間の通信インタフェースである。
[0075] アクセス要求代理手段 202は、要求元 OS 1からのアクセス要求を受け取り、そのァ クセス要求を実行する。
[0076] これにより、要求元 OS1内でアクセス要求手段 101が出したアクセス要求は、要求 先 OS2内では、アクセス要求代理手段 202が出したアクセス要求として扱われる。
[0077] 要求先 OS 2上で動作する UMLプロセス、 NFSデーモンなどがこのアクセス要求 代理手段 202に相当する。
[0078] アクセス処理手段 B203は、要求先 OS2のカーネルに相当し、サブジェクト管理、メ モリ管理、割り込み管理、サブジェクト間通信といったシステムの基本制御を行う部分 である。
[0079] このアクセス処理手段 B203は、アクセス要求代理手段 201からのアクセス要求が あると、そのアクセス要求の中に含まれている、アクセス要求代理手段 202のサブジ ェクト情報とアクセス対象オブジェクト 204のオブジェクト情報をもとに、アクセス処理 を実行する。
[0080] オブジェクト 204は、サブジェクトのアクセス対象である。
[0081] なお、オブジェクト 204は、ファイル、ディレクトリ、セマフォ、パイプ、 FIFO,メッセ一 ジ、共有メモリ、ソケット、など、要求先 OS2上のコンビユー
タ資源であれば何でも良 、。
[0082] サブジェクト情報取得手段 205は、アクセス要求手段 101のサブジェクト情報を取 得する手段である。
[0083] サブジェクト情報取得手段 205は、通信部 B201、通信部 A104、アクセス処理手 段 A102を介し、サブジェクト情報記憶部 A103に保存されたサブジェクト情報を取得 する。
[0084] サブジェクト情報変換手段 206は、アクセス権限判定手段 207に渡すサブジェクト 情報を適切なサブジェクト情報に変換する。
[0085] 要求元 OS1内のアクセス要求手段 101から、要求先 OS2上のオブジェクト 204〖こ アクセス要求があっても、要求先 OS2上のアクセス処理手段 B203は、アクセス要求 代理手段 202からオブジェクト 204に対するアクセス要求と見なしてしまう。
[0086] そこで、サブジェクト情報変換手段 206は、アクセス要求を受け取った時に、サブジ ェクト情報取得手段 205を介して、アクセス要求手段 101のサブジェクト情報を取得 することとする。
[0087] そして、取得したサブジェクト情報とサブジェクト情報変換データベース 208をもとに 、アクセス要求代理手段 202のサブジェクト情報を変換し、変換後のサブジェクト情 報をアクセス権限判定手段 207に渡す処理を行う。
[0088] アクセス権限判定手段 207は、特許文献 1、非特許文献 1に示されるように、実行さ れようとしているアクセス要求について、その要求元サブジェクトのサブジェクト情報と 、要求先オブジェクトのオブジェクト情報をもとに、そのアクセスを許可する力許可しな いかを判断する。
[0089] アクセス処理手段 B203にアクセス要求が届くたびに、アクセス権限判定手段 207 が呼ばれるため、要求先 OS 1内で実行される全サブジェクトについて、サブジェクト がアクセス要求を出すたびに、そのアクセスを許可するか許可しな 、かの判断がなさ れること〖こなる。
[0090] サブジェクト情報変換データベース 208には、要求元 OS 1上のアクセス要求手段 1 01ごとに、要求元 OS 1上でのサブジェクト情報と、そのサブジェクトに対して要求先 OS上で割り当てるサブジェクト情報が保存されて！、る。
[0091] サブジェクト情報記憶部 B209には、アクセス要求代理手段 202のサブジェクト情報 が記憶される。
[0092] サブジェクト情報変換手段 206がアクセス要求代理手段 202のサブジェクト情報を 変換する時、変換前のサブジェクト情報がこの記憶部に退避される。
[0093] そして、サブジェクト変換手段 206が、アクセス要求をアクセス処理手段 B203に返 す時は、そのアクセス要求のサブジェクト情報をこの記憶部に退避されたサブジェクト 情報に戻し、返される。 [0094] なお UMLのように、要求元 OS1と要求先 OS2が同一の情報処理装置で実行され ている場合は、通信部 A104、通信部 B210が存在しないため、アクセス処理手段 A 102は、通信部を介さずに直接要求先 OS2のアクセス要求代理手段 101にアクセス 要求を通知する。またサブジェクト情報取得手段 205も、通信部を介さずアクセス処 理手段 A102のみを介し、サブジェクト情報記憶部 A103に保存されたサブジェクト 情報を取得する。
[0095] 次に、図 1、図 2及び図 3のフローチャートを参照して本実施の形態の全体の動作 について詳細に説明する。
[0096] まずアクセス要求手段 101がオブジェクト 204へのアクセス要求を出す (ステップ S1 )と、アクセス処理手段
A102はそのアクセス要求を、通信部 A104、通信部 B201を介して、アクセス要求代 理手段 202に通知する (ステップ S2)。
[0097] 次に、アクセス要求代理手段 202が、受け取ったアクセス要求を実行する (ステップ S3)。
[0098] 次に、アクセス処理手段 B202が、受け取ったアクセス要求をサブジェクト情報変換 手段 206に通知する（ステップ S4)。
[0099] 次に、サブジェクト情報取得手段 205が、通信部 B201、通信部 A104、アクセス処 理手段 A102を介し、サブジェクト情報記憶部 A103からアクセス要求手段 101のサ ブジェクト情報を取得し、サブジェクト情報変換手段 206に通知する (ステップ S5)。
[0100] 次に、サブジェクト情報変換手段 206が、前ステップで取得したサブジェクト情報と サブジェクト情報変換データベース 208をもとに、アクセス要求代理手段 202に割り 当てる新し 、サブジェクト情報を取得する (ステップ S6)。
[0101] 次に、サブジェクト情報変換手段 206が、アクセス要求代理手段 202にもともと割り 当てられていたサブジェクト情報を、サブジェクト情報記憶部 B209に退避させ、前ス テツプで取得したサブジェクト情報を割り当て直す (ステップ S7)。
[0102] 次に、サブジェクト情報変換手段 206が、アクセス権限判定手段 207にアクセス権 限判定を依頼する (ステップ S8)。
[0103] 次に、アクセス権限判定手段 207が、そのアクセス要求のサブジェクト情報とォブジ ェクト情報をもとに、そのアクセスを許可するか許可しないかを判定し、判定結果をォ ブジェクト情報変換手段 206に通知する (ステップ S 9)。
[0104] 次に、サブジェクト情報変換手段 206は、アクセス要求代理手段 202のサブジェクト 情報を、サブジェクト情報記憶部 B209に退避させたサブジェクト情報に戻し、前ステ ップの判定結果をアクセス処理手段 203に返す (ステップ S 10)。
[0105] 最後に、アクセス処理手段 B203が、前ステップ力も受け取ったアクセス要求の判 定結果をもとに、もし判定結果が許可であればオブジェクトへのアクセス処理を行 、、 判定結果が不許可であればオブジェクトへのアクセス処理は行わな ヽ (ステップ S11
) o
[0106] 次に、本実施の形態の効果について説明する。
[0107] 本実施の形態の第 1の効果として、本実施の形態では、サブジェクト情報取得手段 205力 通信部 B201、通信部 A104、アクセス処理手段 A102を介し、サブジェクト 情報記憶部 A203からアクセス要求手段 101のサブジェクト情報を取得し、そのサブ ジェタト情報に応じて、サブジェクト情報取得変換手段 206がアクセス要求代理手段 202のサブジェクト情報を置き換えるため、アクセス要求手段 101の種類に応じたァ クセス権限判定を行うことができる。
[0108] また、本実施の形態の第 2の効果として、本実施の形態では、アクセス権限判定は 全て要求先 OS上のアクセス権限判定手段 207で行われるため、アクセス要求手段 1 01に対するアクセス権限判定ポリシ全て要求先 OSで一括して管理することができる
[0109] これにより、システム管理者は、アクセス権限判定システム構築に掛カる手間を削 減することができる。
[0110] また、本実施の形態の第 3の効果として、本実施の形態では、既存のアクセス権限 判定手段 207に手をカ卩えることなぐ容易に要求元 OS1のアクセス要求手段 101か らのアクセス要求に対応したアクセス権限判定システムを構築することができる。
[0111] また、本実施の形態の第 4の効果として、要求元 OSのセキュリティ的脆弱性を突か れて、要求元 OSの権利者権限を奪われて不正アクセスされても、本特許のアクセス 権限チェックは、ユーザによらず、サブジェクト情報に立脚しているので、被害を最小 限に抑えることができる。
[0112] 次に、本発明の第 2の発明を実施するための最良の形態について図面を参照して 詳細に説明する。
[0113] 図 4を参照すると、本発明の第 2の発明を実施するための最良の形態は、第 1の発 明を実施するための最良の形態と比較し、要求先 OS2内にサブジェクト情報記憶部
C210を有する点で異なる。
[0114] サブジェクト情報記憶部 C210は、アクセス要求代理手段 A202がアクセス要求手 段 101のサブジェクト情報を保存しておくための記憶領域である。
[0115] またそれに伴!、、アクセス処理手段 A102と、アクセス要求代理手段 202、サブジエ タト情報取得手段 205の動作が異なるので、以下に説明する。
[0116] アクセス処理手段 A102は、アクセス要求手段 101からのアクセス要求があると、ァ クセス要求に、サブジェクト情報記憶部 A103に保存されているサブジェクト情報を含 め通信部 A104に送信する。
[0117] アクセス要求代理手段 202は、要求元 OS1からのアクセス要求を受け取り、その中 に含まれているアクセス要求手段 101のサブジェクト情報をサブジェクト情報記憶部
C210に保存し、さらに受け取ったアクセス要求を実行する。
[0118] サブジェクト情報取得手段 205は、サブジェクト情報記憶部 C210に保存されたァク セス要求手段 101のサブジェクト情報を取得する。
[0119] なお UMLのように、要求元 OS1と要求先 OS2が同一の情報処理装置で実行され ている場合は、通信部 A104、通信部 B210が存在しないため、アクセス処理手段 A
102は、通信部を介さずに直接要求先 OS2のアクセス要求代理手段 101にアクセス 要求を通知する。
[0120] その他の構成要素の動作は、本発明の第 1の発明を実施するための最良の形態に おける動作と同一であるため、説明は省略する。
[0121] 次に、図 4及び図 5、図 6のフローチャートを参照して本実施の形態の全体の動作 について詳細に説明する。
[0122] まず、アクセス要求手段 101がオブジェクト 204へのアクセス要求を出す (ステップ S 1)と、アクセス処理手段 A102は、そのアクセス要求に、サブジェクト情報記憶部 A1 03に保存されているサブジェクト情報を含め、通信部 A104、通信部 B201を介して
、アクセス要求代理手段 202に通知する (ステップ S 2)。
[0123] 次に、アクセス要求代理手段 202が、受け取ったアクセス要求の中に含まれている アクセス要求手段 101のサブジェクト情報をサブジェクト情報記憶部 C210に保存し（ ステップ S3)、さらに受け取ったアクセス要求を実行する (ステップ S4)。
[0124] 次に、アクセス処理手段 B202が、受け取ったアクセス要求をサブジェクト情報変換 手段 206に通知する（ステップ S5)。
[0125] 次に、サブジェクト情報取得手段 205が、サブジェクト情報記憶部 C210から、サブ ジェタト情報記憶部 A10
3からアクセス要求手段 101のサブジェクト情報を取得し、サブジェクト情報変換手段
206に通知する（ステップ S6)。
[0126] 次に、サブジェクト情報変換手段 206が、前ステップで取得したサブジェクト情報と サブジェクト情報変換データベース 208をもとに、アクセス要求代理手段 202に割り 当てる新し 、サブジェクト情報を取得する (ステップ S 7)。
[0127] 次に、サブジェクト情報変換手段 206が、アクセス要求代理手段 202にもともと割り 当てられていたサブジェクト情報を、サブジェクト情報記憶部 B209に退避させ、前ス テツプで取得したサブジェクト情報を割り当て直す (ステップ S8)。
[0128] 次に、サブジェクト情報変換手段 206が、アクセス権限判定手段 207にアクセス権 限判定を依頼する (ステップ S9)。
[0129] 次に、アクセス権限判定手段 207が、そのアクセス要求のサブジェクト情報とォブジ ェクト情報をもとに、そのアクセスを許可するか許可しないかを判定し、判定結果をサ ブジェクト情報変換手段 206に通知する (ステップ S 10)。
[0130] 次に、サブジェクト情報変換手段 206は、アクセス要求代理手段 202のサブジェクト 情報を、サブジェクト情報記憶部 B209に退避させたサブジェクト情報に戻し、前ステ ップの判定結果をアクセス処理手段 203に返す (ステップ S 11)。
[0131] 最後に、アクセス処理手段 B203が、前ステップ力も受け取ったアクセス要求の判 定結果をもとに、もし判定結果が許可であればオブジェクトへのアクセス処理を行 、、 判定結果が不許可であればオブジェクトへのアクセス処理は行わな ヽ (ステップ S 12 ) o
[0132] 次に、本実施の形態の効果について説明する。
[0133] 本実施の形態の第 1の効果として、本実施の形態では、アクセス要求代理手段 202 が、アクセス要求手段 101のサブジェクト情報をサブジェクト情報記憶部 C210に保 存し、サブジェクト情報取得手段 205が、サブジェクト情報記憶部 C210からアクセス 要求手段 101のサブジェクト情報を取得し、そのサブジェクト情報に応じて、サブジエ タト情報変換手段 206がアクセス要求代理手段 202のサブジェクト情報を置き換える ため、アクセス要求手段 101の種類に応じたアクセス権限判定を行うことができる。
[0134] また、本実施の形態の第 2の効果として、本実施の形態では、アクセス権限判定は 全て要求先 OS上のアクセス権限判定手段 207で行われるため、アクセス要求手段 1 01に対するアクセス権限判定ポリシ全て要求先 OSで一括して管理することができる
[0135] これにより、システム管理者は、アクセス権限判定システム構築に掛カる手間を削 減することができる。
[0136] また、本実施の形態の第 3の効果として、本実施の形態では、既存のアクセス権限 判定手段 207に手をカ卩えることなぐ容易に要求元 OS1のアクセス要求手段 101か らのアクセス要求に対応したアクセス権限判定システムを構築することができる。
[0137] また、本実施の形態の第 4の効果として、要求元 OSのセキュリティ的脆弱性を突か れて、要求元 OSの権利者権限を奪われて不正アクセスされても、本特許のアクセス 権限チェックは、ユーザによらず、サブジェクト情報に立脚しているので、被害を最小 限に抑えることができる。
[0138] 次に、本発明の第 3の発明を実施するための最良の形態について図面を参照して 詳細に説明する。
[0139] 図 7を参照すると、本発明の第 3の発明を実施するための最良の形態は、第 1の発 明を実施するための最良の形態と比較し、要求元 OS 1にサブジェクト情報通知手段 105を有し、また要求先 OS2にサブジェクト情報記憶部 C210を有する点で異なる。
[0140] サブジェクト情報通知手段 105は、アクセス処理手段 A102上でコンテキストスイツ チが起こった際、スィッチ後実行されることになるサブジェクトのサブジェクト情報を、 通信部 A104、通信部 B210を介し、アクセス要求代理手段 101に伝える。
[0141] なお、コンテキストスィッチとは、マルチタスク OSにおける実行サブジェクトの切り替 え作業のことである。
[0142] サブジェクト情報記憶部 C210は、サブジェクト情報通知手段 105がサブジェクト情 報を保存しておくための記憶領域である。
[0143] また、それに伴い、アクセス要求代理手段 101とサブジェクト情報取得手段 205の 動作が異なるので以下に説明する。
[0144] アクセス要求代理手段 101は、本実施の第 1の実施の形態において説明した動作 に加えて更に、要求元 OS 1のサブジェクト情報通知手段 105からサブジェクト情報の 通知を受けた時、そのサブジェクト情報をサブジェクト情報記憶部 C210に保存する
[0145] サブジェクト情報取得手段 205は、サブジェクト情報記憶部 C210に保存されたァク セス要求手段 101のサブジェクト情報を取得する。
[0146] なお UMLのように、要求元 OS1と要求先 OS2が同一の情報処理装置で実行され ている場合は、通信部 A104、通信部 B210が存在しないため、アクセス要求手段 10 1やサブジェクト情報通知手段 105による要求先 OS2への通知は、通信部を介さず に直接要求先 OS2のアクセス要求代理手段 101に通知される。
[0147] その他の構成要素の動作は、本発明の第 1の発明を実施するための最良の形態に おける動作と同一であるため、説明は省略する。
[0148] 次に、図 7、図 8及び図 10のフローチャートを参照して本実施の形態の全体の動作 について詳細に説明する。
[0149] まず、要求元 OS1のアクセス処理手段 A102が、コンテキストスィッチが起こるたび に、サブジェクト情報通知手段 105は、実行中サブジェクトのサブジェクト情報をァク セス要求代理手段 101に通知し、アクセス要求代理手段 101はそれをサブジェクト情 報記憶部 C210に保存する (ステップ Sl)。
[0150] 次に、アクセス要求手段 101がオブジェクト 204へのアクセス要求を出す (ステップ S2)と、アクセス処理手段 A102はそのアクセス要求を、通信部 A104、通信部 B201 を介して、アクセス要求代理手段 202に通知する (ステップ S3)。 [0151] 次に、アクセス要求代理手段 202が、受け取ったアクセス要求を実行する (ステップ S4)。
[0152] 次に、アクセス処理手段 B202が、受け取ったアクセス要求をサブジェクト情報変換 手段 206に通知する（ステップ S5)。
[0153] 次に、サブジェクト情報取得手段 205が、サブジェクト情報記憶部 C210からァクセ ス要求手段 101のサブジェクト情報を取得し、サブジェクト情報変換手段 206に通知 する（ステップ S 6)。
[0154] 次に、サブジェクト情報変換手段 206が、前ステップで取得したサブジェクト情報と サブジェクト情報変換データベース 208をもとに、アクセス要求代理手段 202に割り 当てる新し 、サブジェクト情報を取得するステップ S 7)。
[0155] 次に、サブジェクト情報変換手段 206が、アクセス要求代理手段 202にもともと割り 当てられていたサブジェクト情報を、サブジェクト情報記憶部 B209に退避させ、前ス テツプで取得したサブジェクト情報を割り当て直す (ステップ S8)。
[0156] 次に、サブジェクト情報変換手段 206が、アクセス権限判定手段 207にアクセス権 限判定を依頼する (ステップ S9)。
[0157] 次に、アクセス権限判定手段 207が、そのアクセス要求のサブジェクト情報とォブジ ェクト情報をもとに、そのアクセスを許可するか許可しないかを判定し、判定結果をサ ブジェクト情報変換手段 206に通知する (ステップ S 10)。
[0158] 次に、サブジェクト情報変換手段 206は、アクセス要求代理手段 202のサブジェクト 情報を、サブジェクト情報記憶部 B209に退避させたサブジェクト情報に戻し、前ステ ップの判定結果をアクセス処理手段 203に返す (ステップ S 11)。
[0159] 最後に、アクセス処理手段 B203が、前ステップ力も受け取ったアクセス要求の判 定結果をもとに、もし判定結果が許可であればオブジェクトへのアクセス処理を行 、、 判定結果が不許可であればオブジェクトへのアクセス処理は行わな ヽ (ステップ S 12
) o
[0160] 次に、本実施の形態の効果について説明する。
[0161] 本実施の形態の第 1の効果として、本実施の形態では、アクセス要求代理手段 202 が、アクセス要求手段 101のサブジェクト情報をサブジェクト情報記憶部 C210に保 存し、サブジェクト情報取得手段 205が、サブジェクト情報記憶部 C210からアクセス 要求手段 101のサブジェクト情報を取得し、そのサブジェクト情報に応じて、サブジエ タト情報変換手段 206がアクセス要求代理手段 202のサブジェクト情報を置き換える ため、アクセス要求手段 101の種類に応じたアクセス権限判定を行うことができる。
[0162] また、本実施の形態の第 2の効果として、本実施の形態では、アクセス権限判定は 全て要求先 OS上のアクセス権限判定手段 207で行われるため、アクセス要求手段 1 01に対するアクセス権限判定ポリシ全て要求先 OSで一括して管理することができる
[0163] これにより、システム管理者は、アクセス権限判定システム構築に掛カる手間を削 減することができる。
[0164] また、本実施の形態の第 3の効果として、本実施の形態では、既存のアクセス権限 判定手段 207に手をカ卩えることなぐ容易に要求元 OS1のアクセス要求手段 101か らのアクセス要求に対応したアクセス権限判定システムを構築することができる。
[0165] また、本実施の形態の第 4の効果として、要求元 OSのセキュリティ的脆弱性を突か れて、要求元 OSの権利者権限を奪われて不正アクセスされても、本特許のアクセス 権限チェックは、ユーザによらず、サブジェクト情報に立脚しているので、被害を最小 限に抑えることができる。
実施例
[0166] 次に、本発明の第 1の実施例を、図 1 図 3を参照して説明する。
[0167] 力かる実施例は本発明の第 1の実施の形態に対応するものである。
[0168] 本実施例は、 1台の情報処理装置における仮想マシン環境であり、情報処理装置 としてパーソナル 'コンピュータを、要求元 OS1として UMLを、要求先 OSとして Linu
Xを想定する。
[0169] 本実施例では、要求元 OS1として UMLを使用するので、図 1中の要求元 OS1内 の構成要素について、アクセス要求手段 101を UML上で動作するアプリケーション プロセスと見なすことができ、アクセス要求処理手段 A102を UMLカーネルと見なす ことができる。
[0170] また、サブジェクト情報記憶部 A103は、主記憶上に確保されたサブジェクト情報記 憶領域 Aと見なすことができ、ここにはアプリケーションプロセスの実行ファイルの絶 対パス（例えば ZusrZlocalZbinZapp3)が保存されて!、るものとする。
[0171] 本実施例では、要求先 OSとして Linuxを使用するので、図 1中の要求先 OS2内の 構成要素について、アクセス要求代理手段 202を UMLカーネルの実行プロセスと 見なすことができ、アクセス処理手段 B203をホスト Linuxカーネルと見なすことがで き、オブジェクト 204をホスト Linux上のあるファイル Aと見なすことができ、サブジェク ト情報取得手段 205をカーネル内で動作するサブジェクト情報取得モジュールと見 なすことができ、サブジェクト情報変換手段 206をカーネル内で動作するサブジェクト 情報変換モジュールと見なすことができ、アクセス権限判定手段 207を SELinuxと 見なすことができる。
[0172] またサブジェクト情報記憶部 B209は、主記憶上のサブジェクト情報記憶領域 Bと見 なすことができ、 SELinuxの SID (Security ID)が記憶される。
[0173] SIDとは、 SELinuxが OS上の全てのサブジェクト、オブジェクトに割り当てる識別 子情報で、 SELinuxはプロセスがファイルにアクセスする際、それぞれに割り当てら れた SIDを比較し、アクセス権限判定を行って ヽる。
[0174] またサブジェクト情報変換データベース 208は、主記憶上のサブジェクト情報変換 データベース記憶領域であり、 UML上のプロセスの実行ファイルのパス情報と、そ のプロセスに割り当てる SID力 プロセスごとに保存されていることとする。
[0175] 図 10にその例を示す。
[0176] 以上のことをまとめると、本実施例では、 SELinuxがインストールされた Linux上で UMLを実行して!/、る時に、 UML上のプロセスからホスト Linux上のリソースに対す るアクセス権限判定を、ホスト Linuxにインストールされた SELinuxを用いて行うこと になる。
[0177] 以上の構成を用いて、 UML上のアプリケーションプロセスから、 Host Filesyste m経由でホスト Linux上のファイルへの読み込み要求があった場合の動作を説明す る。
[0178] まず、 UML上のアプリケーションプロセス力 ファイル Aを読み込むためのシステム コールを発行すると、 UMLカーネルがその情報をホスト Linux上の UMLカーネル の実行プロセスに通知する。
[0179] それを受け取った UMLカーネルの実行プロセスは、ファイル Aを読み込むための システムコ一ノレを、ホスト Lin
ux力一ネルに対して発行し直す。
[0180] これによりホスト Linuxカーネルは、発行されたシステムコールを、 UMLカーネルの 実行プロセスがファイルを読み込むためのシステムコールとして解釈する。
[0181] 次に、ホスト Linuxカーネルが読み込み処理を行うことになる力 その前にサブジエ タト情報取得モジュールが、 UML上の UMLカーネルに問合せ、アプリケーションプ 口セスの実行ファイルの絶対パスを取得する。
[0182] そして、その絶対パスとサブジェクト情報変換データベース記憶領域に保存されて いる情報をもとに、サブジェクト情報変換モジュールは、 UMLカーネルの実行プロセ スに割り当てるべき SIDを取得する。
[0183] 図 10で示したサブジェクト情報変換データベース記憶領域を用いる場合、アプリケ ーシヨンプロセスの実行ファイルの絶対パスが ZusrZlocalZbinZapp3であるため 、 SIDとして 13を取得する。
[0184] 次に、サブジェクト情報変換モジュールは、もともと UMLカーネルの実行プロセス に割り当てられて!/、た SIDをサブジェクト情報記憶領域 Bに退避させ、取得した SID を UMLカーネルの実行プロセスに付カ卩した上で、 SELinuxにアクセス権限判定を 依頼し、 SELinuxが、 UMLカーネルの実行プロセスに割り当てられた SID 13とフ アイル Aに割り当てられている SIDをもとにアクセス権限判定を行う。
[0185] これにより、 UMLカーネルの実行プロセスからのシステムコールは、そのシステムコ ールの元になつた UML上のアプリケーションプロセスに応じて、適した SIDに置き換 えられた上で、アクセス権限判定が行われることになる。
[0186] アクセス権限判定が行われると、アクセス許可もしくは不許可の結果がサブジェクト 情報変換モジュールに返ってくることになる力 次に、サブジェクト情報変換モジユー ルは、サブジェクト情報記憶領域 Bに保存されている、 UMLカーネルの実行プロセ スのもともとの SIDを、 UML力ーネノレの実行プロセスに戻す。
[0187] これらの処理が終わると、サブジェクト情報変換モジュールは、処理をホスト Linux カーネルに返す。
[0188] ホスト Linuxカーネルでは、 SELinuxでのアクセス権限判定の結果に基づいて、実 際のアクセス処理を行う。
[0189] もしアクセス許可の判定であれば、 UMLカーネルからのファイル Aに対するァクセ ス処理は実行する。
[0190] もしアクセス不許可の判定であれば、アクセス処理は実行されない。
[0191] 次に、本発明の第 2の実施例を、図 4 図 6を参照して説明する。
[0192] 力かる実施例は本発明の第 2の実施の形態に対応するものである。
[0193] 本実施例は、ホスト Linux上にサブジェクト情報記憶部 C210を有する点で、第 1の 実施例の構成と異なるが、その他の構成は同一である。
[0194] サブジェクト情報記憶部 C210は、主記憶上に確保されたサブジェクト情報記憶領 域 Cと見なすことができ、ここにはアプリケーションプロセスの絶対パスが保存される。
[0195] 以上の構成を用いて、 UML上のアプリケーションプロセスから、 Host Filesyste m経由でホスト Linux上のファイルへの読み込み要求があった場合の動作を説明す る。
[0196] まず、 UML上のアプリケーションプロセス力 ファイル Aを読み込むためのシステム コールを発行すると、 UMLカーネルがその情報に、アプリケーションプロセスの実行 ファイルの絶対パスを含め、ホスト Linux上の UMLカーネルの実行プロセスに通知 する。
[0197] それを受け取った UMLカーネルの実行プロセスは、まず送られてきたアプリケーシ ヨンプロセスの絶対パスを、サブジェクト情報記憶領域 Cに保存する。
[0198] そして、ファイル Aを読み込むためのシステムコールを、ホスト Linuxカーネルに対 して発行し直す。
[0199] これによりホスト Linuxカーネルは、発行されたシステムコールを、 UMLカーネルの 実行プロセスがファイルを読み込むためのシステムコールとして解釈する。
[0200] 次に、ホスト Linuxカーネルが読み込み処理を行うことになる力 その前にサブジエ タト情報取得モジュール力 サブジェクト情報記憶領域 Cに問合せ、アプリケーション プロセスの実行ファイルの絶対パスを取得する。 [0201] そして、その絶対パスとサブジェクト情報変換データベース記憶領域に保存されて いる情報をもとに、サブジェクト情報変換モジュールは、 UMLカーネルの実行プロセ スに割り当てるべき SIDを取得する。
[0202] 図 10で示したサブジェクト情報変換データベース記憶領域を用いる場合、アプリケ ーシヨンプロセスの実行ファイルの絶対パスが ZusrZlocalZbinZapp3であるため 、 SIDとして 13を取得する。
[0203] 次に、サブジェクト情報変換モジュールは、もともと UMLカーネルの実行プロセス に割り当てられて!/、た SIDをサブジェクト情報記憶領域 Bに退避させ、取得した SID を UMLカーネルの実行プロセスに付カ卩した上で、 SELinuxにアクセス権限判定を 依頼し、 SELinuxが、 UMLカーネルの実行プロセスに割り当てられた SID 13とフ アイル Aに割り当てられている SIDをもとにアクセス権限判定を行う。
[0204] これにより、 UMLカーネルの実行プロセスからのシステムコールは、そのシステムコ ールの元になつた UML上のアプリケーションプロセスに応じて、適した SIDに置き換 えられた上で、アクセス権限判定が行われることになる。
[0205] アクセス権限判定が行われると、アクセス許可もしくは不許可の結果がサブジェクト 情報変換モジュールに返ってくることになる力 次に、サブジェクト情報変換モジユー ルは、サブジェクト情報記憶領域 Bに保存されている、 UMLカーネルの実行プロセ スのもともとの SIDを、 UML力ーネノレの実行プロセスに戻す。
[0206] これらの処理が終わると、サブジェクト情報変換モジュールは、処理をホスト Linux カーネルに返す。
[0207] ホスト Linuxカーネルでは、 SELinuxでのアクセス権限判定の結果に基づいて、実 際のアクセス処理を行う。
[0208] もしアクセス許可の判定であれば、 UMLカーネルからのファイル Aに対するァクセ ス処理は実行する。
[0209] もしアクセス不許可の判定であれば、アクセス処理は実行されない。
[0210] 次に、本発明の第 3の実施例を、図 7—図 10を参照して説明する。
[0211] 力かる実施例は本発明の第 3の実施の形態に対応するものである。
[0212] 本実施例は第 1の実施例と比較し、 UML内にサブジェクト情報通知手段 105を有 し、ホスト Linux上にサブジェクト情報記憶部 C210を有する点で異なる。
[0213] サブジェクト情報通知手段 105は、コンテキストスィッチが起こるごとに、スィッチ後 のプロセスのサブジェクト情報をサブジェクト情報記憶部 Cに通知するサブジェクト通 知手段モジュールと見なすことができる。
[0214] また、サブジェクト情報記憶部 C210は、主記憶上に確保されたサブジェクト情報記 憶領域 Cと見なすことができ、ここにはアプリケーションプロセスの実行プロセスの絶 対パスが保存される。
[0215] 以上の構成を用いて、 UML上のアプリケーションプロセスから、 Host Filesyste m経由でホスト Linux上のファイルへの読み込み要求があった場合の動作を説明す る。
[0216] まず、 UMLカーネル内でコンテキストスィッチが起こり、アプリケーションプロセスが 実行されるとする。
[0217] するとサブジェクト情報通知モジュール力 UMLカーネルの実行プロセスを経由し て、サブジェクト情報記憶領域 Cに、アプリケーションプロセスの実行ファイルの絶対 パスを保存する。
[0218] 次に、 UML上のアプリケーションプロセス力 ファイル Aを読み込むためのシステム コールを発行すると、 UMLカーネルがその情報を、ホスト Linux上の UMLカーネル の実行プロセスに通知する。
[0219] それを受け取った UMLカーネルの実行プロセスは、ファイル Aを読み込むための システムコールを、ホスト Linux力一ネルに対して発行し直す。
[0220] これによりホスト Linuxカーネルは、発行されたシステムコールを、 UMLカーネルの 実行プロセスがファイルを読み込むためのシステムコールとして解釈する。
[0221] 次に、ホスト Linuxカーネルが読み込み処理を行うことになる力 その前にサブジエ タト情報取得モジュール力 サブジェクト情報記憶領域 Cに問合せ、アプリケーション プロセスの実行ファイルの絶対パスを取得する。
[0222] そして、その絶対パスとサブジェクト情報変換データベース記憶領域に保存されて いる情報をもとに、サブジェクト情報変換モジュールは、 UMLカーネルの実行プロセ スに割り当てるべき SIDを取得する。 [0223] 図 10で示したサブジェクト情報変換データベース記憶領域を用いる場合、アプリケ ーシヨンプロセスの実行ファイルの絶対パスが ZusrZlocalZbinZapp3であるため 、 SIDとして 13を取得する。
[0224] 次に、サブジェクト情報変換モジュールは、もともと UMLカーネルの実行プロセス に割り当てられて!/、た SIDをサブジェクト情報記憶領域 Bに退避させ、取得した SID を UMLカーネルの実行プロセスに付カ卩した上で、 SELinuxにアクセス権限判定を 依頼し、 SELinuxが、 UMLカーネルの実行プロセスに割り当てられた SID 13とフ アイル Aに割り当てられている SIDをもとにアクセス権限判定を行う。
[0225] これにより、 UMLカーネルの実行プロセスからのシステムコールは、そのシステムコ ールの元になつた UML上のアプリケーションプロセスに応じて、適した SIDに置き換 えられた上で、アクセス権限判定が行われることになる。
[0226] アクセス権限判定が行われると、アクセス許可もしくは不許可の結果がサブジェクト 情報変換モジュールに返ってくることになる力 次に、サブジェクト情報変換モジユー ルは、サブジェクト情報記憶領域 Bに保存されている、 UMLカーネルの実行プロセ スのもともとの SIDを、 UML力ーネノレの実行プロセスに戻す。
[0227] これらの処理が終わると、サブジェクト情報変換モジュールは、処理をホスト Linux カーネルに返す。
[0228] ホスト Linuxカーネルでは、 SELinuxでのアクセス権限判定の結果に基づいて、実 際のアクセス処理を行う。
[0229] もしアクセス許可の判定であれば、 UMLカーネルからのファイル Aに対するァクセ ス処理は実行する。
[0230] もしアクセス不許可の判定であれば、アクセス処理は実行されない。
[0231] 以上、第 1から第 3の実施例では、情報処理装置としては、パーソナル'コンビユー タを使用する場合を想定したが、代わりにワーク'ステーションや PDA、携帯電話な どのように、 CPU,主記憶、外部記憶装置を持つ情報処理装置であれば、何を使用 しても構わない。
[0232] また、第 1から第 3の実施例では、各記憶部、サブジェクト情報変換データベースを 主記憶上に確保することとした力 外部記憶装置上に確保しても良い。 [0233] また、第 1から第 3の実施例では、要求元 OS 1として UMLを使用した力 代わりに VMwareや Xenなどの仮想マシンの上で動作する OSを使用しても構わない。
[0234] また、第 1から第 3の実施例では、要求先 OSとして Linuxを使用した力 代わりに W indows (登録商標）や UNIX (登録商標)系 OSなどのように他の OSからのアクセス要 求を受け付けることができる OSであれば、何を使用しても構わな!/、。
[0235] また、第 1から第 3の実施例では、アクセス権限判定プログラムとして SELinuxを使 用したが、代わりに LIDSなどのように、 OS上で実行される全てのアクセス要求を制 御できるアクセス権限判定手段 207であれば、何を使用しても構わな!/、。
[0236] また、第 1から第 3の実施例では、アプリケーションプロセスのサブジェクト情報とし て、実行ファイルの絶対パスを使用した力 代わりに PIDなどのように、アプリケーショ ンプロセスを一意に区別できる識別子であれば、何を使用しても構わな!/、。
[0237] また、第 1から第 3の実施例では、サブジェクト情報記憶領域 Bには、 SELinuxの SI D (Security ID)を保存することとした力 アクセス権限判定システム力 サブジェク ト情報として使用する識別子を含む情報であれば、何を保存しても力まわな 、。
[0238] また、第 1から第 3の実施例では、サブジェクト情報変換データベース 208で、 UM L上のプロセスの実行ファイルのパスと、そのプロセスに割り当てる SIDを保存してい たが、代わりに、 UML上のプロセスの PIDと SELinuxの SIDなどのように、要求元 O S1上のプロセスを識別する情報と、そのプロセスに割り当てるアクセス権限判定のた めの識別子が保存されて 、れば、何を保存しても構わな 、。
[0239] また、第 1から第 3の実施例では、ホスト OS上にゲスト OSが 1つだけ実行されてい る構成であるが、複数のゲスト OSが起動して 、ても良 、。
[0240] また、第 1から第 3の実施例では、 1台の情報処理装置における仮想マシン環境を 想定したが、 2台の情報処理装置にそれぞれ要求元 OS、要求先 OSがインストール され、互いに NFSや Sambaなどの通信プログラムによって、情報処理装置内のコン ピュータ資源を相互参照できる環境に適用しても良い。
[0241] その場合、図 1、図 4、図 7のアクセス要求代理手段 202は、通信プログラムのサー バプロセスを意味することになる。
産業上の利用可能性 [0242] 本発明によれば、 1台の情報処理装置に、 1つのホスト OSを実行し、その上に複数 のゲスト OSを起動できるような仮想マシン環境におけるアクセス権限判定システムと して利用することができる。
[0243] また、 LAN (Local Area Network)などによって、複数の情報処理装置がネット ワーク接続された環境において、それぞれの情報処理装置がその内部のコンビユー タ資源を保護するアクセス権限判定システムとして利用することができる。

Claims

請求の範囲
[1] 要求元 OS上のアクセス主体であるサブジェクトが、要求先 OS上のアクセス対象であ るオブジェクトへアクセス要求を出す時に、前記要求先 OS上で、前記要求元 OS上 で実行されて ヽるサブジェクトの権限に応じて、アクセス権限判定を行うことを特徴と するアクセス権限判定システム。
[2] 前記要求先 OSが、前記要求元 OSに前記サブジェクトのサブジェクト情報を問い合 わせることを特徴とする請求項 1記載のアクセス権限判定システム。
[3] 前記要求先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上で代理実行 するアクセス要求代理手段と、
前記アクセス要求代理手段からのアクセス要求があった時に、前記要求元 OS上で 実行され
ているサブジェクトのサブジェクト情報を要求元 OSから取得するサブジェクト情報取 得手段と、
前記要求元 OS上で実行されているサブジェクトの種類ごとに、アクセス要求代理 手段に割り当てるサブジェクト情報を記述したサブジェクト情報変換データベースと、 前記サブジェクト情報取得手段が取得した、前記要求元 OS上で実行されて 、るサ ブジエタトのサブジェクト情報と、前記サブジェクト情報変換データベースを照合し、 アクセス要求代理手段に割り当てるサブジェクト情報を変換するサブジェクト情報変 換手段と、
前記サブジェクト情報変換手段が変換した前記アクセス要求代理手段のサブジェク ト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前記アクセス 要求代理手段がオブジェクトにアクセスする権限があるかどうかを判定するアクセス 権限判定手段と、を備えることを特徴とする請求項 1又は 2記載のアクセス権限判定 システム。
[4] 前記要求元 OSが、アクセス要求元サブジェクトのサブジェクト情報を、前記要求先 O Sに通知することを特徴とする請求項 1記載のアクセス権限判定システム。
[5] 前記要求元 OSが、サブジェクトからのアクセス要求を受け付けると、アクセス要求の 中に要求元サブジェクトのサブジェクト情報を追カ卩し、アクセス要求を要求先 OSに通 知するアクセス処理手段を備えており、
前記要求先 OSが、前記要求元 OSからのアクセス要求を受け付けると、その中に 含まれて 、る前記サブジェクトのサブジェクト情報を、サブジェクト情報記憶部に保存 し、次にアクセス要求を要求元 OS上で代理実行するアクセス要求代理手段と、 前記アクセス要求代理手段からのアクセス要求があった時に、前記サブジェクト情 報記憶部に保存されている、前記要求元 OS上で実行されているサブジェクトのサブ ジ タト情報を取得するサブジェクト情報取得手段と、
前記要求元 OS上で実行されているサブジェクトの種類ごとに、アクセス要求代理 手段に割り当てるサブジェクト情報を記述したサブジェクト情報変換データベースと、 前記サブジェクト情報取得手段が取得した、前記要求元 OS上で実行されて 、るサ ブジエタトのサブジェクト情報と、前記サブジェクト情報変換データベースを照合し、 アクセス要求代理手段に割り当てるサブジェクト情報を変換するサブジェクト情報変 換手段と、
前記サブジェクト情報変換手段が変換した前記アクセス要求代理手段のサブジェク ト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前記アクセス 要求代理手段がオブジェクトにアクセスする権限があるかどうかを判定するアクセス 権限判定手段と、を備えることを特徴とする請求項 1又は 4記載のアクセス権限判定 システム。
前記要求元 OSが、前記要求元 OS内で実行サブジェクトの切り替え作業が起こるた びに、切り替え後に実行されるサブジェクトのサブジェクト情報を、前記要求先 OS上 のサブジェクト情報記憶部に保存するサブジェクト情報通知手段を備えており、 前記要求先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上で代理実 行するアクセス要求代理手段と、
前記アクセス要求代理手段からのアクセス要求があった時に、前記サブジェクト情 報記憶部に保存されている、前記要求元 OS上で実行されているサブジェクトのサブ ジ タト情報を取得するサブジェクト情報取得手段と、
前記要求元 OS上で実行されているサブジェクトの種類ごとに、アクセス要求代理 手段に割り当てるサブジェクト情報を記述したサブジェクト情報変換データベースと、 前記サブジェクト情報取得手段が取得した、前記要求元 OS上で実行されて 、るサ ブジエタトのサブジェクト情報と、前記サブジェクト情報変換データベースを照合し、 アクセス要求代理手段に割り当てるサブジェクト情報を変換するサブジェクト情報変 換手段と、
前記サブジェクト情報変換手段が変換した前記アクセス要求代理手段のサブジェク ト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前記アクセス 要求代理手段がオブジェクトにアクセスする権限があるかどうかを判定するアクセス 権限判定手段と、を備えたことを特徴とする請求項 1又は 4記載のアクセス権限判定 システム。
[7] 前記要求元 OSと前記要求先 OSを一つの情報処理装置で実行する請求項 1から 6 の！、ずれ力 1項記載のアクセス権限判定システム。
[8] 前記要求元 OSと前記要求先 OSをそれぞれ異なる情報処理装置で実行する請求項
1から 6のいずれか 1項記載のアクセス権限判定システム。
[9] 要求元 OS上のアクセス主体であるサブジェクトが、要求先 OS上のアクセス対象であ るオブジェクトへアクセス要求を出す時に、前記要求先 OS上で、前記要求元 OS上 で実行されて ヽるサブジェクトの権限に応じて、アクセス権限判定を行うことを特徴と するアクセス権限判定方法。
[10] 前記要求先 OSが、前記要求元 OSに前記サブジェクトのサブジェクト情報を問い合 わせることを特徴する請求項 9記載のアクセス権限判定方法。
[11] 前記要求先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上で代理実行 する第 1のステップと、
前記第 1のステップによるアクセス要求があった時に、前記要求元 OS上で実行され ているサブジェクトのサブジェクト情報を要求元 OSから取得する第 2のステップと、 前記第 2のステップで取得した前記要求元 OS上で実行されているサブジェクトのサ ブジェクト情報と、前記サブジェクト情報変換データベースを照合し、アクセス要求代 理手段に割り当てるサブジェクト情報を変換する第 3のステップと、
前記第 3のステップによって変換された、前記第 1のステップによるアクセス要求の サブジェクト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前 記第 2のステップによるアクセス要求の権限を判定する第 4のステップと、を備えること を特徴とする請求項 9又は 10記載のアクセス権限判定方法。
[12] 前記要求元 OSが、アクセス要求元サブジェクトのサブジェクト情報を、前記要求先 O
Sに通知することを特徴とする請求項 9記載のアクセス権限判定方法。
[13] 前記要求元 OSが、
サブジェクトからのアクセス要求を受け付けると、アクセス要求の中に要求元サブジ ェタトのサブジェクト情報を追加し、アクセス要求を要求先 OSに通知する第 1のステツ プと、
前記要求先 OSが、前記要求元 OSからのアクセス要求を受け付けると、その中に 含まれて 、る前記サブジェクトのサブジェクト情報を、サブジェクト情報記憶部に保存 し、次にアクセス要求を要求元 OS上で代理実行する第 2のステップと、
前記第 2のステップによるアクセス要求があった時に、前記要求元 OS上で実行され ているサブジェクトのサブジェクト情報をサブジェクト情報記憶部から取得する第 3の ステップと、
前記第 3のステップで取得した前記要求元 OS上で実行されているサブジェクトのサ ブジェクト情報と、前記サブジェクト情報変換データベースを照合し、アクセス要求代 理手段に割り当てるサブジェクト情報を変換する第 4のステップと、
前記第 4のステップによって変換された、前記第 2のステップによるアクセス要求の サブジェクト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前 記第 2のステップによるアクセス要求の権限を判定する第 5のステップと、を備えること を特徴とする請求項 9又は 12記載のアクセス権限判定方法。
[14] 前記要求元 OSが、前記要求元 OS内で実行サブジェクトの切り替え作業が起こるた びに、切り替え後に実行されるサブジェクトのサブジェクト情報を、前記要求先 OS上 のサブジェクト情報記憶部に保存する第 1のステップと、前記要求先 OSが、前記要 求元 OSからのアクセス要求を、要求元 OS上で代理実行する第 2のステップと、 前記第 2のステップによるアクセス要求があった時に、前記要求元 OS上で実行され ているサブジェクトのサブジェクト情報をサブジェクト情報記憶部から取得する第 3の ステップと、 前記第 3のステップで取得した前記要求元 OS上で実行されているサブジェクトのサ ブジェクト情報と、前記サブジェクト情報変換データベースを照合し、アクセス要求代 理手段に割り当てるサブジェクト情報を変換する第 4のステップと、
前記第 4のステップによって変換された、前記第 2のステップによるアクセス要求の サブジェクト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前 記第 2のステップによるアクセス要求の権限を判定する第 5のステップと、を備えること を特徴とする請求項 9又は 12記載のアクセス権限判定方法。
[15] 前記要求元 OSと前記要求先 OSを 1つの情報処理装置で実行する請求項 9から 14 の!、ずれか 1項記載のアクセス権限判定方法。
[16] 前記要求元 OSと前記要求先 OSをそれぞれ異なる情報処理装置で実行する請求項 9から 14のいずれか 1項記載のアクセス権限判定方法。
[17] 要求元 OS上のアクセス主体であるサブジェクトが、要求先 OS上のアクセス対象であ るオブジェクトへアクセス要求を出す時に、前記要求先 OS上で、前記要求元 OS上 で実行されて 、るサブジェクトの権限に応じて、アクセス権限処理を行うことを特徴と するアクセス権限判定プログラム。
[18] 前記要求先 OSが、前記要求元 OSに前記サブジェクトのサブジェクト情報を問い合 わせることを特徴する請求項 17記載のアクセス権限判定プログラム。
[19] 前記要求先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上で代理実行 する第 1の処理と、
前記第 1の処理によるアクセス要求があった時に、前記要求元 OS上で実行されて いるサブジェクトのサブジェクト情報を要求元 OSから取得する第 2の処理と、 前記第 2の処理で取得した前記要求元 OS上で実行されているサブジェクトのサブ ジェタト情報と、前記サブジェクト情報変換データベースを照合し、アクセス要求代理 手段に割り当てるサブジェクト情報を変換する第 3の処理と、
前記第 3の処理によって変換された、前記第 1の処理によるアクセス要求のサブジ ェクト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前記第 2 の処理によるアクセス要求の権限を判定する第 4の処理と、を備えることを特徴とする 請求項 17又は 18記載のアクセス権限判定プログラム。 [20] 前記要求元 OSが、アクセス要求元サブジェクトのサブジェクト情報を、前記要求先 O
Sに通知することを特徴とする請求項 17記載のアクセス権限判定プログラム。
[21] 前記要求元 OSが、サブジェクトからのアクセス要求を受け付けると、アクセス要求の 中に要求元サブジェクトのサブジェクト情報を追カ卩し、アクセス要求を要求先 OSに通 知する第 1の処理と、
前記要求先 OSが、前記要求元 OSからのアクセス要求を受け付けると、その中に 含まれて 、る前記サブジェクトのサブジェクト情報を、サブジェクト情報記憶部に保存 し、次にアクセス要求を要求元 OS上で代理実行する第 2の処理と、 前記第 2の処 理によるアクセス要求があった時に、前記要求元 OS上で実行されて 、るサブジェクト のサブジェクト情報をサブジェクト情報記憶部力 取得する第 3の処理と、
前記第 3の処理で取得した前記要求元 OS上で実行されているサブジェクトのサブ ジェタト情報と、前記サブジェクト情報変換データベースを照合し、アクセス要求代理 手段に割り当てるサブジェクト情報を変換する第 4の処理と、
前記第 4の処理によって変換された、前記第 2の処理によるアクセス要求のサブジ ェクト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前記第 2 の処理によるアクセス要求の権限を判定する第 5の処理と、を備えることを特徴とする 請求項 17又は 20記載のアクセス権限判定プログラム。
[22] 前記要求元 OSが、前記要求元 OS内で実行サブジェクトの切り替え作業が起こるた びに、切り替え後に実行されるサブジェクトのサブジェクト情報を、前記要求先 OS上 のサブジェクト情報記憶部に保存する第 1の処理と、
前記要求先 OSが、前記要求元 OSからのアクセス要求を、要求元 OS上で代理実 行する第 2の処理と、
前記第 2の処理によるアクセス要求があった時に、前記要求元 OS上で実行されて V、るサブジェクトのサブジェクト
情報をサブジェクト情報記憶部から取得する第 3の処理と、
前記第 3の処理で取得した前記要求元 OS上で実行されているサブジェクトのサブ ジェタト情報と、前記サブジェクト情報変換データベースを照合し、アクセス要求代理 手段に割り当てるサブジェクト情報を変換する第 4の処理と、 前記第 4の処理によって変換された、前記第 2の処理によるアクセス要求のサブジ ェクト情報と、そのアクセス対象のオブジェクトのオブジェクト情報をもとに、前記第 2 の処理によるアクセス要求の権限を判定する第 5の処理と、を備えることを特徴とする 請求項 17又は 20記載のアクセス権限判定プログラム。
[23] 前記要求元 OSと前記要求先 OSを 1つの情報処理装置で実行する請求項 17から 2 2のいずれ力 1項記載のアクセス権限判定プログラム。
[24] 前記要求元 OSと前記要求先 OSをそれぞれ異なる情報処理装置で実行する請求項 17から 22のいずれ力 1項記載のアクセス権限判定プログラム。
PCT/JP2006/305957 2005-03-24 2006-03-24 アクセス権限判定システム、アクセス権限判定方法及びアクセス権限判定プログラム WO2006101194A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US11/909,299 US8336059B2 (en) 2005-03-24 2006-03-24 Access right checking system, access right checking method, and access right checking program
EP06729905.7A EP1873678A4 (en) 2005-03-24 2006-03-24 ACCESS RIGHTS ASSESSMENT SYSTEM, ACCESS RIGHTS ASSESSMENT PROCEDURE AND ACCESS RIGHTS ASSESSMENT PROGRAM
JP2007509343A JP4853671B2 (ja) 2005-03-24 2006-03-24 アクセス権限判定システム、アクセス権限判定方法及びアクセス権限判定プログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2005086320 2005-03-24
JP2005-086320 2005-03-24

Publications (1)

Publication Number Publication Date
WO2006101194A1 true WO2006101194A1 (ja) 2006-09-28

Family

ID=37023847

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2006/305957 WO2006101194A1 (ja) 2005-03-24 2006-03-24 アクセス権限判定システム、アクセス権限判定方法及びアクセス権限判定プログラム

Country Status (4)

Country Link
US (1) US8336059B2 (ja)
EP (1) EP1873678A4 (ja)
JP (1) JP4853671B2 (ja)
WO (1) WO2006101194A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012157166A1 (ja) * 2011-05-16 2012-11-22 パナソニック株式会社 仮想計算機システム、仮想計算機システムの制御方法、仮想計算機システムの制御プログラム、及び集積回路
US9262240B2 (en) 2009-02-24 2016-02-16 Kabushiki Kaisha Toshiba Accessing corresponding alternative operation configuration information of applications running on virtual machines based on requested configuration information indicating data format conversion and user name

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8443188B2 (en) * 2006-11-30 2013-05-14 Microsoft Corporation Using code access security for runtime accessibility checks
US8332951B2 (en) * 2008-02-12 2012-12-11 International Business Machines Corporation Section based security for a sectioned surface-based computing device

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002318719A (ja) * 2001-04-24 2002-10-31 Hitachi Ltd 高信頼計算機システム

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5761669A (en) * 1995-06-06 1998-06-02 Microsoft Corporation Controlling access to objects on multiple operating systems
US6298390B1 (en) * 1995-11-22 2001-10-02 Sun Microsystems, Inc. Method and apparatus for extending traditional operating systems file systems
JPH1021099A (ja) 1996-07-02 1998-01-23 Toshiba Corp コンピュータシステムおよびプロセス実行制御方法
US6457130B2 (en) * 1998-03-03 2002-09-24 Network Appliance, Inc. File access control in a multi-protocol file server
JPH11282805A (ja) 1998-03-27 1999-10-15 Nippon Telegr & Teleph Corp <Ntt> 資源アクセス制御方法及びシステム及び資源アクセス制御プログラムを格納した記憶媒体
JP4359974B2 (ja) 1999-09-29 2009-11-11 富士ゼロックス株式会社 アクセス権限委譲方法
US7035850B2 (en) * 2000-03-22 2006-04-25 Hitachi, Ltd. Access control system
JP4177957B2 (ja) * 2000-03-22 2008-11-05 日立オムロンターミナルソリューションズ株式会社 アクセス制御システム
JP3756397B2 (ja) 2000-11-06 2006-03-15 日本電信電話株式会社 アクセス制御方法およびアクセス制御装置および記録媒体
JP2003345654A (ja) 2002-05-23 2003-12-05 Hitachi Ltd データ保護システム
JP2007034341A (ja) 2003-08-22 2007-02-08 Nec Corp コンピュータシステム及びそれに用いるプログラム実行環境実現方法並びにそのプログラム
US7950044B2 (en) * 2004-09-28 2011-05-24 Rockwell Automation Technologies, Inc. Centrally managed proxy-based security for legacy automation systems

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002318719A (ja) * 2001-04-24 2002-10-31 Hitachi Ltd 高信頼計算機システム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
ARAI M. ET AL.: "Multi OS Kankyo o Riyoshita Access Seigyo System no Jisso to Seino Hyoka", TRANSACTIONS OF INFORMATION PROCESSING SOCIETY OF JAPAN, vol. 44, no. 4, 15 April 2003 (2003-04-15), pages 1092 - 1100, XP003005855 *
See also references of EP1873678A4 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9262240B2 (en) 2009-02-24 2016-02-16 Kabushiki Kaisha Toshiba Accessing corresponding alternative operation configuration information of applications running on virtual machines based on requested configuration information indicating data format conversion and user name
WO2012157166A1 (ja) * 2011-05-16 2012-11-22 パナソニック株式会社 仮想計算機システム、仮想計算機システムの制御方法、仮想計算機システムの制御プログラム、及び集積回路
CN103003798A (zh) * 2011-05-16 2013-03-27 松下电器产业株式会社 虚拟计算机系统、虚拟计算机系统的控制方法、虚拟计算机系统的控制程序以及集成电路
US9032401B2 (en) 2011-05-16 2015-05-12 Panasonic Intellectual Property Corporation Of America Virtual computer system having a first virtual computer that executes a protected process, a second virtual computer that executes an unprotected process, and a hypervisor that controls the first and second virtual computers

Also Published As

Publication number Publication date
US20090055840A1 (en) 2009-02-26
JPWO2006101194A1 (ja) 2008-09-04
EP1873678A1 (en) 2008-01-02
EP1873678A4 (en) 2013-10-09
US8336059B2 (en) 2012-12-18
JP4853671B2 (ja) 2012-01-11

Similar Documents

Publication Publication Date Title
US10235515B2 (en) Method and apparatus for on-demand isolated I/O channels for secure applications
Vandebogart et al. Labels and event processes in the Asbestos operating system
JP4719656B2 (ja) ネットワーク上におけるプロセッサ制御技術
US20130275973A1 (en) Virtualisation system
US20080244738A1 (en) Access control
KR20090010872A (ko) ＣＬＤＣ ＯＳＧｉ 환경에서 어플리케이션의 접속 권한을관리하는 방법 및 장치
JP2022553722A (ja) コンピューティングデバイスの動作方法及び動作装置
JP2002092221A (ja) コンピューティングプラットフォームにおけるサービスの実行
JP5704517B2 (ja) 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム
KR102027928B1 (ko) 멀티코어 운영체제를 위한 확장가능하고 안전한 어플리케이션 자원 관리 및 접근 제어
EP2862119B1 (en) Network based management of protected data sets
US8140622B2 (en) Parallel metadata service in storage area network environment
US20070234330A1 (en) Prevention of executable code modification
Thalheim et al. Rkt-io: A direct i/o stack for shielded execution
WO2006101194A1 (ja) アクセス権限判定システム、アクセス権限判定方法及びアクセス権限判定プログラム
Dannenberg et al. A butler process for resource sharing on spice machines
JP7392157B2 (ja) コンピューティングデバイスの動作方法及び動作装置
KR101460451B1 (ko) 프로세스 주소 공간을 제어하는 장치 및 방법
US20080028226A1 (en) System-on-a-chip and method for securely transferring data on a system-on-a-chip
JP5157520B2 (ja) 処理制御システム、サーバ及び処理制御プログラム
Stoker et al. Toward Realizable Restricted Delegation in Computational Grids1
Elphinstone Future directions in the evolution of the L4 microkernel
Ramakrishnan et al. An authorization framework for a grid based component architecture
KR100839050B1 (ko) 이동 단말 보안 관리 시스템 및 그 방법
US20240111689A1 (en) Cache service for providing access to secrets in containerized cloud-computing environment

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2007509343

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 11909299

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2006729905

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: RU

WWP Wipo information: published in national office

Ref document number: 2006729905

Country of ref document: EP